Hlava VI – Riadenie kontinuity činnosti

Bez toho, aby boli dotknuté uplatniteľné požiadavky podľa nariadenia DORA, emitenti ART by mali v rámci vykonávania svojej politiky kontinuity činností a plánov vytvorených v súlade s článkom 34 ods. 9 nariadenia (EÚ) č. 2023/1114 zaviesť spoľahlivé riadenie kontinuity činností a plány reakcie a obnovy s cieľom zabezpečiť ich schopnosť nepretržite fungovať, riadiť incidenty, ktoré by mohli narušiť vykonávanie kritických operácií v súlade s ochotou emitenta ART podstupovať riziko a toleranciou voči narušeniu , a obmedziť straty a narušenie poskytovania služieb v prípade vážneho narušenia obchodných činností. Emitenti ART môžu zriadiť osobitnú nezávislú funkciu kontinuity činnosti, pričom zohľadnia kritériá proporcionality uvedené v hlave I.

Emitent ART sa pri svojej činnosti spolieha na niekoľko kritických zdrojov (napr. informačné systémy vrátane cloudových služieb, komunikačné systémy, kľúčoví zamestnanci a budovy). Cieľom riadenia kontinuity činnosti je obmedziť prevádzkové, finančné, právne a iné závažné následky vrátane poškodenia dobrého mena emitenta ART vyplývajúce z katastrofy alebo dlhšieho prerušenia prístupu k týmto zdrojom a z následného prerušenia bežných obchodných postupov emitenta ART. Ďalšími opatreniami na riadenie rizika by mohlo byť zníženie pravdepodobnosti takýchto incidentov alebo presun ich finančných dôsledkov na tretie strany (napr. prostredníctvom poistenia).

Na vytvorenie spoľahlivého plánu riadenia kontinuity činnosti má emitent ART dôkladne analyzovať rizikové faktory a svoju expozíciu voči závažným prerušeniam obchodnej činnosti a mal by (kvantitatívne aj kvalitatívne) zhodnotiť ich možný dosah pomocou analýzy interných alebo externých údajov a scenárov. Táto analýza by mala otestovať schopnosť emitenta ART zabezpečiť kritické operácie v prípade ich narušenia a mala by zahŕňať všetky obchodné línie a vnútorné útvary vrátane funkcie riadenia rizík alebo postupov riadenia rizík a mala by zohľadňovať ich vzájomnú závislosť. Výsledky analýzy by mali prispieť k vymedzeniu priorít a cieľov pri obnove činnosti emitenta ART.

Na základe uvedenej analýzy má emitent ART zaviesť:

• a. pohotovostný plán a plán na zabezpečenie kontinuity obchodnej činnosti na zabezpečenie vhodnej reakcie emitenta ART na mimoriadne udalosti a jeho schopnosti vykonávať kritické operácie a uchovávať základné údaje v prípade prerušenia jeho bežných obchodných postupov;
• b. plány obnovy pre kritické zdroje a kritické alebo dôležité funkcie , aby sa zotavili z narušenia a umožnili emitentovi ART návrat k bežným obchodným postupom v primeranom časovom rámci. Akékoľvek zvyškové riziko z potenciálneho prerušenia obchodnej činnosti by malo byť v súlade s ochotou emitenta ART podstupovať riziká;
• c. pre ostatné činnosti alebo ak nie je možné zabezpečiť kontinuitu kritických základných funkcií, emitenti ART by mali mať zavedené postupy na včasnú obnovu údajov a funkcií a včasné obnovenie svojich činností.

Pohotovostný plán, plán na zabezpečenie kontinuity obchodných činností a plány obnovy by mali byť zdokumentované a dôkladne vykonávané. Dokumentácia má byť k dispozícii v obchodných líniách, vnútorných útvaroch a v rámci funkcie riadenia rizík pre zamestnancov zodpovedných za postupy riadenia rizík a má byť uložená v systémoch, ktoré sú fyzicky oddelené a v prípade núdzovej situácie ľahko prístupné. Pracovníci majú absolvovať príslušnú odbornú prípravu. Plány sa majú pravidelne testovať a aktualizovať. Akékoľvek problémy alebo chyby, ktoré sa vyskytli pri testovaní, majú byť zdokumentované a analyzované a plány majú byť náležite revidované.