Avdelning VI – Kontinuitetshantering

Varje institut bör inrätta en plan för god kontinuitetshantering och återhämtning för att säkerställa institutets förmåga att upprätthålla verksamheten och begränsa förlusterna vid en allvarlig störning i verksamheten.

Instituten kan inrätta en särskild, oberoende kontinuitetsfunktion, t.ex. som en del av riskhanteringsfunktionen⁴¹ .

⁴¹ Se även artikel 312 i förordning (EU) nr 575/2013.

Institutets verksamhet är beroende av många olika viktiga resurser (t.ex. it-system inklusive molntjänster, kommunikationssystem, nyckelpersonal och byggnader). Syftet med kontinuitetshanteringen är att mildra de operativa, finansiella, rättsliga, anseendemässiga och andra väsentliga konsekvenserna av ett haveri eller långvarigt avbrott i tillgången till dessa resurser som stör institutets normala verksamhet. Andra riskhanteringsåtgärder kan syfta till att minska sannolikheten för sådana händelser eller överföra de ekonomiska konsekvenserna till tredje parter (till exempel genom försäkringar).

För att ha en god kontinuitetshanteringsplan bör institutet noggrant analysera riskfaktorer och sin exponering för allvarliga verksamhetsstörningar och göra (kvantitativa och kvalitativa) bedömningar av deras potentiella inverkan med hjälp av interna och/eller externa uppgifter och scenarioanalyser. Denna analys bör omfatta alla affärsområden och interna enheter, inbegripet riskhanteringsfunktionen, och ta hänsyn till deras beroende av varandra. Resultaten av analysen bör ligga till grund för fastställandet av institutets prioriteringar och mål under återhämtningsskedet.

På grundval av ovannämnda analys bör institutet utarbeta

• a. beredskaps- och kontinuitetsplaner som säkerställer att institutet reagerar på nödsituationer på lämpligt sätt och kan upprätthålla sin viktigaste verksamhet om de vanliga rutinerna störs, och EBA Regular Use
• b. återhämtningsplaner för viktiga resurser, så att institutet kan återgå till sina vanliga rutiner inom rimlig tid. Eventuella återstående risker till följd av verksamhetsstörningar bör vara förenliga med institutets riskaptit.

I denna beskrivning bör åtminstone följande ingå:

• a. En översikt över institutens interna organisation och koncernstrukturen enligt direktiv 2013/34/EU och ändringar av dessa, inbegripet huvudsakliga rapporteringsvägar och ansvarsområden.
• b. Alla väsentliga förändringar som gjorts sedan offentliggörandet av föregående beskrivning samt datum för dessa.
• c. Nya rättsliga strukturer, styrningsstrukturer eller organisationsstrukturer.
• d. Uppgifter om ledningsorganets struktur, organisation och ledamöter, inbegripet antalet ledamöter och antalet av dessa som är oberoende samt uppgifter om kön och mandatperiodens längd för varje ledamot i ledningsorganet. EBA Regular Use
• e. Ledningsorganets viktigaste ansvarsområden.
• f. En förteckning över kommittéerna i ledningsorganet i dess tillsynsfunktion och deras sammansättning.
• g. En översikt över den policy om intressekonflikter som gäller för instituten och för ledningsorganet.
• h. En översikt över ramverket för internkontroll.
• i. En översikt över ramverket för kontinuitetshantering. EBA Regular Use

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

Beredskaps-, kontinuitets- och återhämtningsplaner bör vara dokumenterade och genomföras omsorgsfullt. Dokumentationen bör finnas tillgänglig hos affärsområdena, de interna enheterna och riskhanteringsfunktionen och lagras i system som är fysiskt åtskilda och lätt tillgängliga i en nödsituation. Lämplig utbildning bör tillhandahållas. Planerna bör provas och uppdateras regelbundet. Eventuella problem eller misslyckanden under testerna bör dokumenteras och analyseras och ligga till grund för en översyn av planerna.

Strategier, policyer och förfaranden bör kommuniceras till all berörd personal vid institutet. Institutets personal bör förstå och följa policyer och förfaranden som har med deras uppgifter och ansvarsområden att göra.

Följaktligen bör ledningsorganet informera den berörda personalen och hålla den uppdaterad om institutets strategier och policyer på ett tydligt och konsekvent sätt, åtminstone i den utsträckning som krävs för att den ska kunna utföra sina uppgifter. Detta kan göras med hjälp av skriftliga riktlinjer, manualer eller andra metoder.

I fall där behöriga myndigheter, i enlighet med artikel 106.2 i direktiv 2013/36/EU, kräver att moderföretag årligen offentliggör en beskrivning av sin rättsliga struktur samt lednings- och organisationsstrukturen för gruppen av institut, ska informationen omfatta alla enheter i koncernstrukturen, såsom anges i direktiv 2013/34/EU⁴² , uppdelad efter land.

⁴² Europaparlamentets och rådets direktiv 2013/34/EU av den 26 juni 2013 om årsbokslut, koncernredovisning och rapporter i vissa typer av företag, om ändring av Europaparlamentets och rådets direktiv 2006/43/EG och om upphävande av rådets direktiv 78/660/EEG och 83/349/EEG (EUT L 182, 29.6.2013, s. 19).