Soovituslik juhend “Nõuded finantsjärelevalve subjekti talitluspidevuse protsessi korraldamisele”Oleg Šmeljov, FinantsaudiitorTallinn, 18.01.2007

2

Ettekande ülesehitus• Juhendi eesmärk ja kohaldamisala • Talitluspidevuse koht riskijuhtimises ning

juhtkonna roll• Talitluspidevuse plaanide väljatöötamine• Nõuded talitluspidevuse plaanide sisule• Kommunikatsioon• Talitluspidevusplaanide testimine ja haldus• Juhendi rakendamine

3

Juhendi eesmärk ja kohaldamisala • Juhendiga kehtestatakse soovituslikud ja üldise

iseloomuga tegevusjuhised ja -suunised järelevalvesubjektile talitluspidevusprotsessi korraldamiseks ning talitluspidevusplaanide välja töötamiseks, arvestades vastava tegevusala rahvusvahelist tava ja praktikat ning rahvusvaheliste organisatsioonide soovitusi

• Juhendi rakendamisel tuleb arvestada õigusaktidest tulenevate nõuetega, samuti teistest FI soovituslikest juhenditest tulenevate nõuetega

• Juhendi kohaldamisel tuleb arvestada „täidan või selgitan” põhimõtet

4

Olulised mõisted• Talitluspidevus – järelevalvesubjekti võime

äritegevuseks ilma katkestusteta• Talitluspidevusplaan – talitluspidevuse juhtimise

komponendina käsitletav kompleksne kirjalik tegevuste plaan äritegevuse taastamiseks ja jätkamiseks võimaliku ettenägematu ärikatkestuse korral

• Oluline ärikatkestus – järelevalvesubjekti äritegevuse katkestus, mis ületab subjekti poolt kehtestatud aktsepteeritava taseme (maksimaalset maas oleku aega) ja mis mõjutab järelevalvesubjekti poolt kriitilisteks määratud äriprotsesside toimimist

5

Talitluspidevuse koht riskijuhtimises ning juhtkonna roll• Talitluspidevuse juhtimine on järelevalvesubjekti

riskijuhtimise programmi lahutamatu osa• Talitluspidevuse protsessi toimimise tagajaks on juhatus,

kelle ülesandeks on kindlustada talitluspidevuse plaanide olemasolu kriitiliste äriprotsesside jaoks

• Juhatus peab tagama piisavalt ressursse talitluspidevuse plaanide arendamiseks ja haldamiseks

• Talitluspidevusplaanide koostamiseks, nende edaspidiseks halduseks, testimiseks ja töötajate koolituseks peab looma selge raamistiku (poliitikad, protseduurid, jne)

• Juhatuse ülesandeks on regulaarselt üle vaadata ning kinnitada talitluspidevusplaane ning tagada töötajate koolitus

6

Talitluspidevuse plaanide väljatöötamine

• Talitluspidevuse planeerimise eesmärgiks peab olema äritegevuse jätkuvuse tagamine erakorraliste katkestuse ajal ning äritegevuse ja IT süsteemide taastamine katkestuse järgselt

• Talitluspidevuse planeerimine algab kriitiliste äriprotsesside määratlemisest

• Ärimõjude analüüsi kaudu tuleb identifitseerida ärifunktsioonid ja tegevused, mis taastatakse esmastena

• Kriitiliste äriprotsesside taastamiseks tuleb püstitada sobivad taaste-eesmärgid (nt ulatus, aeg) olulistele ärikatkestustele, mis oleksid proportsioonis mõjuga, mida ettevõte omab klientide tegevusele ja kogu finantssüsteemi tööle

7

Talitluspidevuse plaanide väljatöötamine (2)• Hindamaks võimalikke ohtusid ning nende mõju

protsessidele ja süsteemidele on otstarbekas perioodiliselt teostada riskianalüüsi. Võimalikud sündmuste stsenaariumid võib klassifitseerida järgmiselt:• probleemid infosüsteemidega;• füüsilised rikked (hooned, seadmed jms);• inimressursi kaotamine;• eelpool mainitud stsenaariumite koosmõjud

• Prioriteetsete äriprotsesside jaoks tuleb koostada alternatiivsed tegevusmudelid ja taasteprotseduurid ning tagada, et äri taastamiseks vajalikku kriitilist informatsiooni saaks taastada ja uuendada

• Peab pöörama tähelepanu võimalikule alternatiivasukohale, mis ei tohi sõltuda põhiasukohaga samadest infrastruktuuri komponentidest

8

Nõuded talitluspidevuse plaanide sisule• Talitluspidevuse plaani minimaalsed komponendid:

hädaprotseduurid, erirakenduste ja ressursside loetelud, taastestsenaariumid, rollide kirjeldused, testimise programmid, vajalik logistikateave, võtmeisikute kontaktandmed jne

• Vajalikest elektroonilistest ja mitteelektroonilistest andmetest varukoopiate tegemine ja säilitamine alternatiivasukohas

• Erilist tähelepanu peab pöörama edasiantud tegevuste talitluspidevuse plaanidele

• Talitluspidevuse plaanides peavad olema selgelt välja toodud vastutused ja tegutsemisvolitused

9

Kommunikatsioon• Kommunikatsiooniprotseduurid on talitluspidevuse plaanide

lahutamatu osa• Kommunikatsiooniplaanid peavad sisaldama erinevate

huvigruppide (töötajad, tarnijad, äripartnerid, kliendid, Finantsinspektsioon) informeerimist kriisiolukorrast (talitluspidevuse kontekstis) ja taastamise staatusest

• Võimaliku maineriski vältimiseks peab järelevalvesubjekti poolt avalikkusele edastatud informatsioon olema õigeaegne ning piisav

• Järelevalvesubjektidel tuleb esimesel võimalusel informeerida Finantsinspektsiooni olulisematest ärikatkestustest

• Hiljemalt kolm tööpäeva peale probleemi lahendamist tuleb Finantsinspektsioonile esitada toimunu detailsem kirjeldus (katkestuse aeg, ulatus, mõju, likvideerimise kirjeldus, põhjus, ärahoidmise meetmed)

10

Talitluspidevusplaanide testimine ja haldus

• Talitluspidevusplaanide testimist tuleb läbi viia regulaarselt• Talitluspidevusplaanide testimisse peab kaasama personali,

kelle kohustuseks on tegutseda oluliste katkestuste puhul• Sooritatud testide tulemused peavad olema korrektselt

dokumenteeritud• Testide tulemusi peab analüüsima ning analüüsi tulemuste

põhjal viima sisse muudatused talitluspidevus- ja taasteplaanidesse

• Finantsinspektsioonile tuleb kord aastas esitada dokument planeeritavate testide ajakava kohta ning peale testi tulemuste analüüsi valmimist teavitada testi olulisematest tulemustest

• Regulaarselt peab järelevalvesubjekti talitluspidevusplaane hindama sise- või välisaudit

• Talitluspidevusplaane tuleb üle vaadata ja vajadusel täiendada vähemalt kord aastas või vastavalt vajadusele sagedamini

11

Juhendi rakendamine

• Juhend jõustub alates 01.03.2007

• Juhend kehtib Finantsinspektsiooni seaduse § 2 lg 1 alusel finantsjärelevalve subjektina käsitletavatele isikutele (va kindlustustegevuse seaduse §-s 130 lõikes 2 p 1 nimetatud kindlustusmaaklerid)

• Käesoleva juhendi vastuvõtmisega ja jõustumisega tunnistatakse kehtetuks:• Finantsinspektsiooni soovitusliku juhendi „Nõuded

operatsiooniriski juhtimise korraldamiseks” punkt 12 • Finantsinspektsiooni soovitusliku juhendi „Nõuded

infotehnoloogia ala korraldamiseks” punkt 15

12

Lisainformatsioon• Käesolev presentatsioon - http://www.fi.ee/?id=2700 • FI soovituslikud juhendid - http://www.fi.ee/?id=721• The Joint Forum High-level principles for business

continuity - http://www.bis.org/publ/joint17.pdf

13

Tänan tähelepanu eest!Küsimused ja kommentaarid: oleg.shmeljov@fi.ee