Hlava VI – Riadenie kontinuity činností

Inštitúcie môžu zaviesť špecifickú nezávislú funkciu kontinuity činností, napr. ako súčasť funkcie riadenia rizík⁴¹ .

⁴¹ Pozri aj článok 312 nariadenia (EÚ) č. 575/2013.

Inštitúcia sa pri svojej činnosti spolieha na niekoľko kritických zdrojov (napr. systémy IT vrátane cloudových služieb, komunikačné systémy, kľúčoví zamestnanci a budovy). Cieľom riadenia kontinuity činností je obmedziť prevádzkové, finančné, právne a iné závažné následky vrátane poškodenia dobrého mena inštitúcie, vyplývajúce z katastrofy alebo dlhšieho prerušenia prístupu k týmto zdrojom a z následného prerušenia bežných obchodných postupov inštitúcie. Ďalšími opatreniami na riadenie rizika by mohlo byť zníženie pravdepodobnosti takýchto incidentov alebo presun ich finančných dôsledkov na tretie strany (napr. prostredníctvom poistenia).

Na vytvorenie spoľahlivého plánu riadenia kontinuity činností by inštitúcia mala dôkladne analyzovať rizikové faktory a svoju expozíciu voči závažným prerušeniam obchodnej činnosti a mala by (kvantitatívne aj kvalitatívne) zhodnotiť ich možný dosah pomocou analýzy interných alebo externých údajov a scenárov. Analýza by mala zahŕňať všetky obchodné línie a vnútorné útvary vrátane funkcie riadenia rizík a mala by zohľadňovať ich vzájomnú závislosť. Výsledky analýzy by mali prispieť k vymedzeniu priorít a cieľov pri obnove činnosti inštitúcie.

Na základe uvedenej analýzy by inštitúcia mala zaviesť:

• a. pohotovostný plán a plán na zabezpečenie kontinuity obchodných činností na zabezpečenie vhodnej reakcie inštitúcie na mimoriadne udalosti a jej schopnosti udržať si najvýznamnejšie obchodné činnosti v prípade prerušenia jej bežných obchodných postupov, a
• b. plány obnovy kritických zdrojov, ktoré inštitúcii umožnia vrátiť sa k bežným obchodným postupom v primeranom časovom období. Akékoľvek zvyškové riziko z potenciálneho prerušenia obchodnej činnosti by malo byť v súlade s ochotou inštitúcie podstupovať riziká.

Pohotovostný plán, plán na zabezpečenie kontinuity obchodných činností a plány obnovy by mali byť zdokumentované a dôkladne vykonávané. Dokumentácia by mala byť k dispozícii v obchodných líniách, vnútorných útvaroch a v rámci funkcie riadenia rizík a mala by byť uložená v systémoch, ktoré sú fyzicky oddelené a v prípade núdzovej situácie ľahko prístupné. Pracovníci majú absolvovať príslušnú odbornú prípravu. Plány sa majú pravidelne testovať a aktualizovať. Akékoľvek problémy alebo chyby, ktoré sa vyskytli pri testovaní, majú byť zdokumentované a analyzované a plány majú byť náležite revidované.

An internal audit plan should be drawn up at least once a year on the basis of the annual internal audit control objectives. The internal audit plan should be approved by the management body.

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

Stratégie, politiky a procesy majú byť oznámené všetkým príslušným zamestnancom v celej inštitúcii. Zamestnanci inštitúcie majú chápať a dodržiavať politiky a postupy, ktoré sa týkajú ich povinností a zodpovednosti.

Riadiaci orgán by preto mal príslušných zamestnancov informovať o stratégiách a politikách inštitúcie jasným a konzistentným spôsobom, minimálne na úrovni potrebnej na plnenie ich konkrétnych úloh, a tieto informácie priebežne aktualizovať. Môže tak urobiť prostredníctvom písomných usmernení, príručiek alebo inými prostriedkami.

Ak príslušné orgány vyžadujú od materských spoločností podľa článku 106 ods. 2 smernice 2013/36/EÚ každoročne zverejňovať opis právnej štruktúry a riadenia a organizačnej štruktúry skupiny inštitúcií, informácie majú zahŕňať všetky subjekty v rámci štruktúry skupiny, ako sa vymedzuje v smernici 2013/34/EÚ⁴² , podľa jednotlivých krajín.

⁴² Smernica Európskeho parlamentu a Rady 2013/34/EÚ z 26. júna 2013 o ročných účtovných závierkach, konsolidovaných účtovných závierkach a súvisiacich správach určitých druhov podnikov, ktorou sa mení smernica Európskeho parlamentu a Rady 2006/43/ES a zrušujú smernice Rady 78/660/EHS a 83/349/EHS (Ú. v. EÚ L 182, 29.6.2013, s. 19).

Zverejnenie má obsahovať prinajmenšom:

• a. prehľad vnútornej organizácie inštitúcií a štruktúry skupiny, ako sa vymedzuje v smernici 2013/34/EÚ, a jej zmien vrátane hlavných hierarchických vzťahov a zodpovedností;
• b. akékoľvek významné zmeny od predchádzajúceho zverejnenia a dátum významnej zmeny;
• c. nové právne, riadiace alebo organizačné štruktúry;
• d. informácie o štruktúre, organizácii a členoch riadiaceho orgánu vrátane počtu jeho členov a počtu tých, ktorí sú kvalifikovaní ako nezávislí, s uvedením pohlavia a trvania mandátu každého člena riadiaceho orgánu;
• e. kľúčové zodpovednosti riadiaceho orgánu;
• f. zoznam výborov riadiaceho orgánu vo funkcii dohľadu a ich zloženie;
• g. prehľad politiky v oblasti konfliktov záujmov uplatniteľnej na inštitúciu a riadiaci orgán;
• h. prehľad rámca vnútornej kontroly; a
• i. prehľad rámca riadenia kontinuity činností.