Soovituslik juhend “Nõuded finantsjärelevalve subjekti talitluspidevuse protsessi korraldamisele”

1. Soovituslik juhend “Nõuded finantsjärelevalve subjekti talitluspidevuse protsessi korraldamisele” Oleg Šmeljov, Finantsaudiitor Tallinn, 18.01.2007

2. Ettekande ülesehitus • Juhendi eesmärk ja kohaldamisala • Talitluspidevuse koht riskijuhtimises ning juhtkonna roll • Talitluspidevuse plaanide väljatöötamine • Nõuded talitluspidevuse plaanide sisule • Kommunikatsioon • Talitluspidevusplaanide testimine ja haldus • Juhendi rakendamine

3. Juhendi eesmärk ja kohaldamisala • Juhendiga kehtestatakse soovituslikud ja üldise iseloomuga tegevusjuhised ja -suunised järelevalvesubjektile talitluspidevusprotsessi korraldamiseks ning talitluspidevusplaanide välja töötamiseks, arvestades vastava tegevusala rahvusvahelist tava ja praktikat ning rahvusvaheliste organisatsioonide soovitusi • Juhendi rakendamisel tuleb arvestada õigusaktidest tulenevate nõuetega, samuti teistest FI soovituslikest juhenditest tulenevate nõuetega • Juhendi kohaldamisel tuleb arvestada „täidan või selgitan” põhimõtet

4. Olulised mõisted • Talitluspidevus – järelevalvesubjekti võime äritegevuseks ilma katkestusteta • Talitluspidevusplaan – talitluspidevuse juhtimise komponendina käsitletav kompleksne kirjalik tegevuste plaan äritegevuse taastamiseks ja jätkamiseks võimaliku ettenägematu ärikatkestuse korral • Oluline ärikatkestus – järelevalvesubjekti äritegevuse katkestus, mis ületab subjekti poolt kehtestatud aktsepteeritava taseme (maksimaalset maas oleku aega) ja mis mõjutab järelevalvesubjekti poolt kriitilisteks määratud äriprotsesside toimimist

5. Talitluspidevuse koht riskijuhtimises ning juhtkonna roll • Talitluspidevuse juhtimine on järelevalvesubjekti riskijuhtimise programmi lahutamatu osa • Talitluspidevuse protsessi toimimise tagajaks on juhatus, kelle ülesandeks on kindlustada talitluspidevuse plaanide olemasolu kriitiliste äriprotsesside jaoks • Juhatus peab tagama piisavalt ressursse talitluspidevuse plaanide arendamiseks ja haldamiseks • Talitluspidevusplaanide koostamiseks, nende edaspidiseks halduseks, testimiseks ja töötajate koolituseks peab looma selge raamistiku (poliitikad, protseduurid, jne) • Juhatuse ülesandeks on regulaarselt üle vaadata ning kinnitada talitluspidevusplaane ning tagada töötajate koolitus

6. Talitluspidevuse plaanide väljatöötamine • Talitluspidevuse planeerimise eesmärgiks peab olema äritegevuse jätkuvuse tagamine erakorraliste katkestuse ajal ning äritegevuse ja IT süsteemide taastamine katkestuse järgselt • Talitluspidevuse planeerimine algab kriitiliste äriprotsesside määratlemisest • Ärimõjude analüüsi kaudu tuleb identifitseerida ärifunktsioonid ja tegevused, mis taastatakse esmastena • Kriitiliste äriprotsesside taastamiseks tuleb püstitada sobivad taaste-eesmärgid (nt ulatus, aeg) olulistele ärikatkestustele, mis oleksid proportsioonis mõjuga, mida ettevõte omab klientide tegevusele ja kogu finantssüsteemi tööle

7. Talitluspidevuse plaanide väljatöötamine (2) • Hindamaks võimalikke ohtusid ning nende mõju protsessidele ja süsteemidele on otstarbekas perioodiliselt teostada riskianalüüsi. Võimalikud sündmuste stsenaariumid võib klassifitseerida järgmiselt: • probleemid infosüsteemidega; • füüsilised rikked (hooned, seadmed jms); • inimressursi kaotamine; • eelpool mainitud stsenaariumite koosmõjud • Prioriteetsete äriprotsesside jaoks tuleb koostada alternatiivsed tegevusmudelid ja taasteprotseduurid ning tagada, et äri taastamiseks vajalikku kriitilist informatsiooni saaks taastada ja uuendada • Peab pöörama tähelepanu võimalikule alternatiivasukohale, mis ei tohi sõltuda põhiasukohaga samadest infrastruktuuri komponentidest

8. Nõuded talitluspidevuse plaanide sisule • Talitluspidevuse plaani minimaalsed komponendid: hädaprotseduurid, erirakenduste ja ressursside loetelud, taastestsenaariumid, rollide kirjeldused, testimise programmid, vajalik logistikateave, võtmeisikute kontaktandmed jne • Vajalikest elektroonilistest ja mitteelektroonilistest andmetest varukoopiate tegemine ja säilitamine alternatiivasukohas • Erilist tähelepanu peab pöörama edasiantud tegevuste talitluspidevuse plaanidele • Talitluspidevuse plaanides peavad olema selgelt välja toodud vastutused ja tegutsemisvolitused

9. Kommunikatsioon • Kommunikatsiooniprotseduurid on talitluspidevuse plaanide lahutamatu osa • Kommunikatsiooniplaanid peavad sisaldama erinevate huvigruppide (töötajad, tarnijad, äripartnerid, kliendid, Finantsinspektsioon) informeerimist kriisiolukorrast (talitluspidevuse kontekstis) ja taastamise staatusest • Võimaliku maineriski vältimiseks peab järelevalvesubjekti poolt avalikkusele edastatud informatsioon olema õigeaegne ning piisav • Järelevalvesubjektidel tuleb esimesel võimalusel informeerida Finantsinspektsiooni olulisematest ärikatkestustest • Hiljemalt kolm tööpäeva peale probleemi lahendamist tuleb Finantsinspektsioonile esitada toimunu detailsem kirjeldus(katkestuse aeg, ulatus, mõju, likvideerimise kirjeldus, põhjus, ärahoidmise meetmed)

10. Talitluspidevusplaanide testimine ja haldus • Talitluspidevusplaanide testimist tuleb läbi viia regulaarselt • Talitluspidevusplaanide testimisse peab kaasama personali, kelle kohustuseks on tegutseda oluliste katkestuste puhul • Sooritatud testide tulemused peavad olema korrektselt dokumenteeritud • Testide tulemusi peab analüüsima ning analüüsi tulemuste põhjal viima sisse muudatused talitluspidevus- ja taasteplaanidesse • Finantsinspektsioonile tuleb kord aastas esitada dokument planeeritavate testide ajakava kohta ning peale testi tulemuste analüüsi valmimist teavitada testi olulisematest tulemustest • Regulaarselt peab järelevalvesubjekti talitluspidevusplaane hindama sise- või välisaudit • Talitluspidevusplaane tuleb üle vaadata ja vajadusel täiendada vähemalt kord aastas või vastavalt vajadusele sagedamini

11. Juhendi rakendamine • Juhend jõustub alates 01.03.2007 • Juhend kehtib Finantsinspektsiooni seaduse § 2 lg 1 alusel finantsjärelevalve subjektina käsitletavatele isikutele (va kindlustustegevuse seaduse §-s 130 lõikes 2 p 1 nimetatud kindlustusmaaklerid) • Käesoleva juhendi vastuvõtmisega ja jõustumisega tunnistatakse kehtetuks: • Finantsinspektsiooni soovitusliku juhendi „Nõuded operatsiooniriski juhtimise korraldamiseks” punkt 12 • Finantsinspektsiooni soovitusliku juhendi „Nõuded infotehnoloogia ala korraldamiseks” punkt 15

12. Lisainformatsioon • Käesolev presentatsioon - http://www.fi.ee/?id=2700 • FI soovituslikud juhendid - http://www.fi.ee/?id=721 • The Joint Forum High-level principles for business continuity - http://www.bis.org/publ/joint17.pdf

13. Tänan tähelepanu eest! Küsimused ja kommentaarid: oleg.shmeljov@fi.ee