Tytuł VI – Zarządzanie ciągłością działania

W celu zapewnienia zdolności do prowadzenia bieżącej działalności i ograniczenia strat w przypadku poważnego zakłócenia działalności firmy inwestycyjne powinny ustanowić prawidłowy plan zarządzania ciągłością działania i przywrócenia gotowości do pracy.

Firmy inwestycyjne mogą ustanawiać niezależne komórki ds. zarządzania ciągłością działania.

Działalność firmy inwestycyjnej jest uzależniona od pewnych zasobów o znaczeniu krytycznym (np. systemów informatycznych, w tym usług w chmurze, systemów łączności, personelu podstawowego i budynków). Celem zarządzania ciągłością działania jest zmniejszenie operacyjnych, finansowych, prawnych, reputacyjnych i innych istotnych konsekwencji katastrofy lub długotrwałej przerwy w dostępie do tych zasobów oraz wynikającego z niej zakłócenia zwykłych procedur biznesowych firmy inwestycyjnej. Inne środki zarządzania ryzykiem mogą mieć na celu zmniejszenie prawdopodobieństwa takich incydentów lub przeniesienie ich skutków finansowych na osoby trzecie (np. dzięki ubezpieczeniu).

Aby ustanowić prawidłowy plan zarządzania ciągłością działania, firma inwestycyjna powinna poddać starannej analizie czynniki ryzyka i własną ekspozycję na poważne zakłócenia działalności oraz ocenić (w ujęciu ilościowym i jakościowym) ich potencjalne skutki, wykorzystując dane wewnętrzne lub zewnętrzne oraz analizę scenariuszy wariantowych. Analiza ta powinna obejmować wszystkie linie biznesowe i jednostki wewnętrzne, w tym KZR lub procedury zarządzania ryzykiem, oraz powinna uwzględniać ich wzajemne zależności. Wyniki analizy powinny wnieść wkład w określenie priorytetów i celów firmy inwestycyjnej w zakresie przywrócenia działalności.

Na podstawie powyższej analizy firma inwestycyjna powinna ustanowić:

• a. plany awaryjne i plany ciągłości działania zapewniające odpowiednią reakcję firmy inwestycyjnej na sytuacje awaryjne oraz zabezpieczające jej zdolność do kontynuowania najważniejszej działalności w razie zakłócenia zwykłych procedur biznesowych; oraz
• b. plany przywrócenia zasobów o znaczeniu krytycznym służące wznowieniu zwykłych procedur biznesowych w odpowiednich ramach czasowych. Wszelkie ryzyko szczątkowe wynikające z potencjalnego zakłócenia działalności powinno być zgodne z gotowością firmy inwestycyjnej do podejmowania ryzyka.

Plany awaryjne, plany ciągłości działania i plany przywrócenia gotowości do pracy powinny być udokumentowane oraz należycie wdrożone. Dokumentacja powinna być dostępna w liniach biznesowych, jednostkach wewnętrznych i KZR dla pracowników odpowiedzialnych za procedury zarządzania ryzykiem oraz przechowywana w systemach oddzielonych fizycznie i łatwo dostępnych w razie wystąpienia sytuacji awaryjnej. Należy przeprowadzić odpowiednie szkolenia. Plany należy regularnie testować i aktualizować. Wszelkie trudnośc i lub niepowodzenia ujawnione podczas testów należy udokumentować i przeanalizować, a plany poddać stosownemu przeglądowi.