Bancile trebuie sa respecte o serie de norme impuse de BNR pentru asigurarea continuitatii activitatii sistemelor de decontare a platilor, asigurate prin Transfond.

BNR nu reglementeaza insa derularea operatiunilor de plata efectuate de catre banci pentru clientii acestora in cazul producerii unor incidente, precum cel prin care a trecut sambata ING, care a avut intrerupte toate sistemele informatice, inclusiv platile cu carduri, timp de aproape 12 ore. (vezi aici detalii)

Problemele dintre banci si clienti sunt in responsabilitatea ANPC si a autoritatilor de comunicatii.

Astfel, normele BNR impun ca planurile privind asigurarea continuităţii activităţii sistemelor trebuie să includă existenţa cel puţin a unei locaţii secundare pentru procesare.

Iata normele publicate de BNR:

Continuitatea activităţii

De ce continuitatea activităţii este (atât de) importantă?

Realizarea şi menţinerea stabilităţii financiare depinde de funcţionarea adecvată a sistemelor de plăţi şi a sistemelor de decontare a operaţiunilor cu instrumente financiare.

Integrarea pieţelor financiare şi conexiunile între sisteme favorizează migrarea riscului de la un sistem la altul (riscul de contaminare) şi exportul riscului la nivel global (efectul de domino).

Stabilitatea financiară poate fi periclitată dacă o instituţie de credit, considerată critică, sau întregul sistem bancar se confruntă cu întreruperi operaţionale cauzate, de exemplu, de dezastre naturale, dificultăţi şi/sau disfuncţionalităţi în operarea echipamentelor IT, fraude, întreruperi în furnizarea de curent electric şi management defectuos.

Ce este continuitatea activităţii?

Este starea de funcţionare neîntreruptă a operaţiunilor la un nivel minim agreat pe durata orelor de desfăşurare a activităţii.

Obiectiv

Scopul gestionării continuităţii activităţii unui sistem este de a asigura că sunt respectate nivelele de servicii stabilite, chiar şi în eventualitatea în care se produce întreruperea activităţii normale.

Principii ale continuităţii activităţii

Pentru a asigura că planurile de asigurare a continuităţii activităţii sunt conforme cu obiectivele generale ale activităţii, cu strategia de administrare a riscurilor şi cu planurile bugetare, ar trebui ca aprobarea şi revizuirea strategiei asigurării continuităţii activităţii şi a mecanismelor de monitorizare să fie realizate permanent de către conducerea executivă.

Funcţiile critice care asigură procesul de decontare trebuie identificate de administratorii sistemelor alocându-se priorităţi proceselor din cadrul acestor funcţii, după categoria şi caracterul critic al acestor procese.

Obiectivele avute în vedere pentru asigurarea continuităţii activităţii sistemelor trebuie să fie definite clar şi să aibă ca scop reluarea şi recuperarea funcţiilor critice, în aceeaşi zi de decontare, pentru a asigura, în toate scenariile vizate, finalizarea tuturor tranzacţiilor aflate în aşteptare la data de decontare previzionată.

Administratorul sistemului şi, acolo unde este cazul, participanţii şi furnizorii de servicii de infrastructură trebuie să prevadă planuri pentru asigurarea continuităţii serviciului într-un număr de scenarii plauzibile, inclusiv în caz de catastrofă majoră (cutremure, inundaţii şi incendii), de întreruperi în furnizarea de energie electrică sau de disfuncţionalităţi care acoperă o arie vastă, precum şi de atacuri teroriste, de greve, de fraude interne şi externe şi de management defectuos.

Aceste scenarii trebuie să fie analizate şi fundamentate periodic sub forma Analizelor de Impact asupra Activităţii (BIA), ceea ce implică evaluarea pericolelor posibile, a probabilităţii ca acestea să se manifeste, şi a impactului financiar sau operaţional asupra sistemului.

Planurile privind asigurarea continuităţii activităţii sistemelor trebuie să includă existenţa, cel puţin a unei locaţii secundare pentru procesare. Administratorii de sistem trebuie să ia în considerare derularea operaţiunilor zilnice de la o locaţie/ locaţia secundară; totodată facilităţile de continuitate a activităţii tuturor participanţilor ar trebui testate de la locaţia secundară periodic, începând cu participanţii la sistem consideraţi critici.

Trebuie luate măsuri pentru a evita ca întregul personal, operaţional sau implicat în alte activităţi decât cele operaţionale (operatori PC, personal cu atribuţii de control şi de administrare a sistemului) şi identificat drept critic în analizele de impact asupra activităţii efectuate, să fie prezent la aceeaşi locaţie în acelaşi timp.

Administratorii sistemelor de plăţi trebuie să stabilească proceduri alternative/ de urgenţă şi aranjamente bilaterale pentru realizarea funcţiilor critice în cazul întreruperii totale a reţelelor IT&C.

Eşecul tehnic al participanţilor la sistem consideraţi critici poate induce risc sistemic.

Operatorii de sisteme trebuie să stabilească echipe de administrare a situatiilor de criză şi proceduri formalizate bine structurate pentru administrarea crizelor şi comunicaţii interne şi externe în timpul crizelor.

Schimbul de informaţii şi comunicarea sunt esenţiale în timpul crizelor.

Listele care conţin persoanele de contact considerate critice (atât a celor cu atribuţii operaţionale cât şi a celor cu atribuţii de administrare a situaţiilor de criză), dintre care, cel puţin cele ale participanţilor critici, ale autorităţilor şi ale furnizorilor de servicii/ funcţii critice de infrastructură, inclusiv persoanele de contact de la sediile secundare ale acestora, trebuie să fie actualizate şi reexaminate în mod periodic şi să fie disponibile, atât la sediile principale, cât şi la cele secundare.

Fiecare parte implicată într-un plan de asigurare a continuităţii activităţii trebuie să comunice eficient, atât în interiorul entităţii cât şi în exteriorul acesteia, utilizând metode de comunicare sigure şi testate, bazate pe fluxuri informaţionale clare şi precise.

Toate elementele planurilor de asigurare a continuităţii activităţii trebuie testate periodic; această testare trebuie să implice atât participanţii la sistem cât şi orice altă parte care ar putea fi afectată de sau ar putea afecta aceste aranjamente.

Testarea periodică este o componentă importantă a administrării continuităţii activităţii, întrucât prin aceasta se asigură că planurile de asigurare a continuităţii activităţii sunt eficiente inclusiv din punct de vedere al costurilor, realizabile şi revizuite permanent.

Conştientizarea şi întelegerea aspectelor privind continuitatea activităţii împreună cu cooperarea la nivel naţional între autorităţile relevante şi coordonarea planurilor de asigurare a continuităţii activităţii din sectorul public şi cele din sectorul privat precum şi cooperarea la nivel regional şi internaţional reprezintă optima administrare a riscului operaţional din pieţele financiare pe arii vaste.