Avdelning VI – hantering av driftskontinuitet

Värdepappersföretag ska upprätta en sund hanterings- och återhämtningsplan för driftskontinuitet i syfte att säkerställa sin förmåga att bedriva löpande verksamhet och begränsa förluster i händelse av allvarliga avbrott i affärsverksamheten.

Värdepappersföretag får inrätta en särskild och oberoende driftskontinuitetsfunktion.

Ett värdepappersföretags verksamhet är beroende av flera kritiska resurser (däribland it-system inklusive molntjänster, kommunikationssystem, personal och byggnader). Syftet med driftskontinuitetshantering är att minska operativa, ekonomiska, rättsliga, anseendemässiga och andra väsentliga konsekvenser som kan följa av en katastrof eller långa avbrott eller störningar hos dessa resurser samt de därav följande avbrotten i värdepappersföretagets ordinarie affärsverksamhet. Andra riskhanteringsåtgärder kan syfta till att minska sannolikheten att sådana incidenter inträffar eller att överföra deras ekonomiska konsekvenser till tredje parter (t.ex. genom försäkringar).

För att upprätta en sund plan för driftskontinuitetshantering ska värdepappersföretaget noggrant analysera riskfaktorer som rör, och dess exponering för, allvarliga avbrott i verksamheten samt (kvantitativt och kvalitativt) bedöma de potentiella effekterna av sådan avbrott med hjälp av interna och/eller externa data samt scenarioanalyser. Sådana analyser ska omfatta alla affärsområden och interna enheter, inklusive riskhanteringsfunktionen eller riskhanteringsförfarandena, och ska ta hänsyn till deras inbördes beroende. Resultaten av analyserna ska utgöra en av grunderna för värdepappersföretagets återhämtningsprioriteringar och återhämtningsmål.

På grundval av ovannämnda analyser ska värdepappersföretaget inrätta följande:

• a. Beredskaps- och driftskontinuitetsplaner som säkerställer att värdepappersföretaget reagerar på nödsituationer på lämpligt sätt och kan upprätthålla sin viktigaste verksamhet i händelse av avbrott i den ordinarie affärsverksamheten.
• b. Återhämtningsplaner för kritiska resurser som gör det möjligt för värdepappersföretaget att återgå till den ordinarie affärsverksamheten inom en lämplig tidsram. Eventuella kvarstående risker till följd av avbrott i verksamheten ska vara förenliga med värdepappersföretagets riskaptit.

Beredskapsplaner, driftskontinuitetsplaner och återhämtningsplaner ska dokumenteras och genomföras noggrant. Dokumentationen ska finnas tillgänglig inom affärsområdena, de interna enheterna och riskhanteringsfunktionen för den personal som ansvar för riskhanteringsförfaranden, och ska finnas bevarad i system som är fysiskt åtskilda och lättillgängliga i händelse av oförutsedda situationer. Lämplig utbildning på detta område ska tillhandahållas. Planerna ska testas och uppdateras regelbundet. Problem eller brister som konstateras när dessa tester genomförs ska dokumenteras och analyseras, och planerna ska ses över i enlighet med detta.