Articolul 20 Risc operațional

(1)   Operatorul SIPS stabilește un cadru robust cu sisteme, politici, proceduri și controale adecvate pentru a identifica, monitoriza și gestiona riscul operațional.

(2)   Operatorul SIPS reexaminează, auditează și testează, periodic și după modificări semnificative, sistemele, politicile operaționale, procedurile și controalele.

(3)   Operatorul SIPS stabilește obiectivele privind nivelurile de servicii și fiabilitatea operațională, precum și politicile destinate să atingă aceste obiective. Acesta reexaminează obiectivele și politicile cel puțin anual.

(4)   Operatorul SIPS se asigură că un SIPS are permanent posibilitatea de a ajusta capacitatea de procesare pentru a face față creșterilor volumelor de plăți care apar din cauza evenimentelor de criză și că își poate atinge obiectivele privind nivelurile de servicii.

(5)   Operatorul SIPS stabilește politici cuprinzătoare de securitate fizică,de securitate a tehnologiei informației și comunicațiilor (TIC), procese și politici de sistem, precum și sisteme reziliente de informații, care să identifice, să evalueze și să gestioneze în mod adecvat toate potențialele vulnerabilități, amenințări, incidente și riscuri într-un mediu TIC. Acesta reexaminează politicile cel puțin anual.

(6)   Operatorul SIPS stabilește un plan de continuitate a activității care abordează evenimente care determină un risc semnificativ de perturbare a operațiunilor SIPS. Planul include utilizarea unui sediu secundar și este proiectat să asigure reluarea operațiunilor sistemelor informatice de importanță critică în termen de două ore de la producerea acestor evenimente. Planul este conceput astfel încât SIPS este întotdeauna capabil să deconteze toate plățile scadente până la sfârșitul zilei lucrătoare în care are loc perturbarea. Operatorul SIPS testează și reexaminează planul cel puțin anual.

(7)   Operatorul SIPS identifică participanții de importanță critică în special pe baza volumelor și valorilor plăților și a impactului potențial al acestora asupra altor participanți și asupra SIPS în ansamblu, în cazul unei probleme operaționale semnificative cu care s-ar confrunta acești participanți.

(8)   Operatorul SIPS identifică, monitorizează și gestionează riscurile pe care participanții de importanță critică, alte IPF, precum și furnizorii de servicii și utilități le-ar putea genera pentru operațiunile SIPS.

(9)   În sensul prezentului articol, trimiterile la „risc” includ riscurile specificate la articolele 21 și 22.