Artigo 20.o Risco operacional

1.   O operador de SIPS deve criar um quadro sólido dotado de sistemas, políticas, procedimentos e controlos adequados para a identificação, controlo e gestão do risco operacional.

2.   O operador de SIPS deve rever, auditar e testar os sistemas, as políticas, os procedimentos e os controlos operacionais, periodicamente e após a introdução de alterações significativas.

3.   O operador de SIPS deve estabelecer objetivos de nível de serviço e fiabilidade operacional e políticas concebidas para alcançar esses objetivos. Deve rever os objetivos e políticas pelo menos anualmente.

4.   O operador de SIPS deve assegurar-se de que o SIPS possui, a todo o momento, uma capacidade passível de expansão para dar resposta aos aumentos nos volumes de pagamentos que ocorram devido a situações de tensão, e de que pode alcançar os seus objetivos de nível de serviço.

5.   O operador de SIPS deve estabelecer políticas, processos e políticas sistémicas abrangentes em matéria de segurança física e de tecnologias da informação e comunicação (TIC), bem como sistemas de informação resilientes, que identifiquem, avaliem e giram adequadamente todas as potenciais vulnerabilidades, ameaças, incidentes e riscos num ambiente de TIC. Deve rever as políticas pelo menos anualmente.

6.   O operador de SIPS deve estabelecer um plano de continuidade das atividades que responda as situações de risco significativo de perturbação das operações do SIPS. O plano deve incluir a utilização de instalações secundárias e estar concebido para assegurar que os principais sistemas informáticos possam retomar o funcionamento nas duas horas seguintes à ocorrência dessas situações. O plano deve estar concebido de modo a permitir que o SIPS esteja sempre em condições de liquidar todos os pagamentos vencidos até o final do dia útil em que ocorreu a perturbação. O operador de SIPS deve testar o plano e revê-lo pelo menos anualmente.

7.   O operador de SIPS deve identificar os participantes mais importantes com base, em especial, nos volumes e valores dos pagamentos e no seu eventual impacto sobre outros participantes e sobre o SIPS no seu todo no caso de tais participantes sofrerem um problema operacional significativo.

8.   O operador de SIPS deve identificar, monitorizar, e gerir os riscos aos quais os participantes mais importantes, outras IMF e os prestadores e fornecedores de serviços possam expor as operações do SIPS.

9.   Para efeitos do presente artigo, as referências ao «risco» incluem os riscos especificados nos artigos 21.o e 22.o.