Naslov VI – Upravljanje neprekinjenega poslovanja

Institucije lahko vzpostavijo posebno neodvisno funkcijo neprekinjenega poslovanja, na primer v okviru funkcije upravljanja tveganj⁴¹ .

⁴¹ Glej tudi člen 312 Uredbe (EU) št. 575/2013.

Poslovanje instit ucije temelji na več ključnih virih (na primer informacijskih sistemih, vključno s storitvami v oblaku, komunikacijskih sistemih, ključnih zaposlenih in zgradbah). Namen upravljanja neprekinjenega poslovanja je zmanjšati operativne, finančne in pravne posl edice, posledice za ugled in druge materialne posledice, ki so posledica nesreče ali daljše prekinitve teh virov ter posledične motnje običajnih poslovnih postopkov institucije. Drugi ukrepi upravljanja tveganj so lahko namenjeni zmanjševanju verjetnosti t akih dogodkov ali prenosu njihovega finančnega vpliva (na primer z zavarovanjem) na tretje osebe.

Institucija bi morala za vzpostavitev načrta smotrnega upravljanja neprekinjenega poslovanja skrbno analizirati svojo izpostavljenost resnim motnjam poslovanja in dejavnike tveganja zanjo ter (kvantitativno in kvalitativno) oceniti njihov potencialni vpliv, pri čemer uporabi notranje in/ali zunanje podatke ter analizo scenarijev. Ta analiza bi morala zajemati vsa poslovna področja in notranje enote, vključno s funkcijo upravljanja tveganj, ter upoštevati njihovo medsebojno odvisnost. Rezultati analize bi morali prispevati k opredelitvi prednostnih nalog in ciljev za okrevanje institucije.

Institucija bi morala na podlagi zgornje analize vzpostaviti:

• a. krizne načrte in načrte neprekinjenega poslovanja za zagotovitev, da se institucija ustrezno odzove na nujne primere in je sposobna ohraniti svoje najpomembnejše poslovne dejavnosti v primeru motenj običajnih poslovnih postopkov, in
• b. načrte okrevanja za ključne vire, ki ji omogočajo ponovno vzpostavitev običajnih poslovnih postopkov v ustreznem časovnem okviru. Kakršno koli preostalo tveganje zaradi morebitnih motenj poslovanja bi moralo biti v skladu s pripravljenostjo institucije za prevzemanje tveganj.

Krizne načrte, načrte neprekinjenega poslovanja in načrte okrevanja bi bilo treba dokumentirati in jih skrbno izvajati. Dokumentacija bi morala biti na razpolago v okviru poslovnih področij, notranjih enot in funkcije upravljanja tveganj ter shranjena v sistemih, ki so fizično ločeni in so v primeru nepredvidenih dogodkov takoj dostopni. Zagotoviti bi bilo treba ustrezno usposabljanje. Načrte bi bilo treba redno testirati in posodabljati. Vsa sporna vprašanja ali napake, ki se pojavijo pri testih, bi bilo treba dokumentirati in analizirati, načrte pa ustrezno pregledati.

An internal audit plan should be drawn up at least once a year on the basis of the annual internal audit control objectives. The internal audit plan should be approved by the management body.

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

O strategijah in politikah bi morali biti obveščeni vsi relevantni zaposleni v instituciji. Zaposleni v instituciji bi morali razumeti in upoštevati politike in postopke, ki se nanašajo na njihove dolžnosti in odgovornosti.

Zato bi moral upravljalni organ zadevne zaposlene o strategijah in politikah institucije obvestiti jasno in skladno ter vsaj v obsegu, ki je potreben za izvajanje njihovih posebnih dolžnosti. To se lahko stori s pisnimi smernicami, priročniki ali kako drugače.

Če pristojni organi na podlagi člena 106(2) Direktive 2013/36/EU od nadrejenih oseb zahtevajo, naj vsako leto objavijo opis svoje pravne strukture ter strukture upravljanja in organizacijske struktur e skupine institucij, bi morale informacije vključevati vse subjekte v skupini, kot je opredeljeno v Direktivi 2013/34/EU⁴² , in sicer po državah.

⁴² Direktiva 2013/34/EU Evropskega parlamenta in Sveta z dne 26. junija 2013 o letnih računovodskih izkazih, konsolidiranih računovodskih izkazih in povezanih poročilih nekaterih vrst podjetij, spremembi Direktive 2006/43/ES Evropskega parlamenta in Sveta ter razveljavitvi direktiv Sveta 78/660/EGS in 83/349/EGS (UL L 182, 29.6.2013, str. 19).

Objava bi morala vključevati vsaj:

• a. pregled notranje organizacije institucij in strukture skupine, kot je opredeljeno v Direktivi 2013/34/EU, z vsemi spremembami, vključno po možnosti z glavnimi linijami poročanja in odgovornostmi;
• b. vse večje spremembe od predhodne objave ter datum večje spremembe;
• c. nove pravne strukture, strukture upravljanja ali organizacijske strukture;
• d. informacije o strukturi, organizaciji in članih upravljalnega organa, vključno s številom članov in številom neodvisnih članov z navedbo spola in trajanja mandata vsakega člana upravljalnega organa;
• e. glavne odgovornosti upravljalnega organa;
• f. seznam odborov upravljalnega organa v nadzorni funkciji in njihovo sestavo;
• g. pregled politike nasprotja interesov, ki se uporablja za institucijo in upravljalni organ;
• h. pregled ureditve notranjih kontrol in
• i. pregled okvira za upravljanje neprekinjenega poslovanja.