Artikel 20 Operativ risk

1.   En operatör av ett systemviktigt betalningssystem ska upprätta en stabil ram med lämpliga system, riktlinjer och förfaranden för att kartlägga, övervaka och hantera operativa risker.

2.   En operatör av ett systemviktigt betalningssystem ska övervaka, granska och testa system, riktlinjer för den operativa verksamheten, förfaranden och kontroller regelbundet samt efter omfattande ändringar.

3.   En operatör av ett systemviktigt betalningssystem ska uppställa mål för servicenivån och driftsäkerheten samt utforma riktlinjer för att nå dessa mål. Operatören ska se över målen och riktlinjerna minst en gång per år.

4.   En operatör av ett systemviktigt betalningssystem ska vid varje tidpunkt säkerställa att det systemviktiga betalningssystemet har skalbar kapacitet att hantera ökande betalningsvolymer som kan uppstå till följd av stressituationer, samt att operatören kan uppnå sina mål för servicenivån.

5.   En operatör av ett systemviktigt betalningssystem ska ta fram heltäckande riktlinjer för fysisk säkerhet samt säkerhet för informations- och kommunikationsteknik (IKT) samt processer och systemriktlinjer samt motståndskraftiga informationssystem som på ett lämpligt sätt identifierar, bedömer och hanterar varje potentiell sårbarhet, hot, incident och risk i en IKT-miljö. Operatören ska se över strategin minst en gång per år.

6.   En operatör av ett systemviktigt betalningssystem ska ta fram en plan för att säkerställa en kontinuerlig affärsverksamhet som hanterar händelser som utgör en betydande risk för avbrott i betalningssystemets verksamhet. Denna plan ska inkludera ett alternativt driftsställe och göra det möjligt att återuppta driften av kritiska IT-system inom två timmar efter en sådan händelse. Planen ska vara så utformad att det systemviktiga betalningssystemet alltid kan avveckla alla betalningar som ska betalas vid slutet av den affärsdag då störningen inträffar. Operatören av det systemviktiga betalningssystemet ska testa strategin och granska denna minst en gång per år.

7.   En operatör av ett systemviktigt betalningssystem ska identifiera viktiga deltagare baserat på främst betalningsvolym och -värde samt hur dessa kan påverka andra deltagare och det systemviktiga betalningssystemet i dess helhet, om allvarliga operativa problem uppstår hos en sådan deltagare.

8.   En operatör av ett systemviktigt betalningssystem ska identifiera, övervaka och hantera de risker som de viktigaste deltagarna, andra marknadsinfrastrukturer samt tjänsteleverantörer kan utgöra för betalningssystemets operationer.

9.   Vid tillämpningen av denna artikel ska hänvisningar till ”risk” omfatta de risker som specificeras i artiklarna 21 och 22.