Maturità Piano di continuità operativa · Direttiva BCEAO PCA
Il vostro dispositivo di continuità operativa, misurato sulla direttiva BCEAO e tradotto in un piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità Piano di continuità operativa · Direttiva BCEAO PCA
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Directive de la BCEAO relative au plan de continuité d’activité des établissements de crédit de l’UMOA avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma un riscontro in traiettoria.
Il piano di continuità operativa è oggetto di test i cui risultati vengono utilizzati?
- N1
Nessun test è stato effettuato. Il piano esiste in forma documentale e non è mai stato messo alla prova.
- N2
Sono stati effettuati test occasionali, limitati a un’esercitazione tabletop o a un componente tecnico isolato. I riscontri non sono formalizzati.
- N3
È definito e applicato un programma annuale di test sulle attività critiche. Ogni esercitazione dà luogo a un verbale e ad azioni correttive individuate.
- N4
I test includono un passaggio reale al sito di emergenza con gli utenti interessati e coinvolgono i fornitori essenziali. Le azioni correttive sono monitorate fino alla chiusura e presentate all’organo deliberante.
- N5
Gli scenari di test evolvono in base agli incidenti verificatisi e ai cambiamenti del sistema informativo. I risultati alimentano l’analisi d’impatto e la revisione degli obiettivi di ripristino, con uno storico documentato da un’esercitazione all’altra.
Azione per passare da N2 a N3
Inserire nel piano annuale di controllo un programma di test che copra le attività ritenute critiche dall’analisi d’impatto, designare un responsabile e una data per ogni esercitazione, e formalizzare un verbale standard le cui azioni correttive siano riesaminate nel comitato rischi successivo.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu PCA.
Di cosa parla questo quadro di riferimento
La direttiva della BCEAO relativa al piano di continuità operativa richiede agli istituti di credito e agli istituti finanziari a carattere bancario dell’UMOA di disporre di un dispositivo scritto, approvato dall’organo deliberante, che garantisca la prosecuzione delle attività essenziali in caso di interruzione grave. Essa articola quattro obblighi: identificare le attività critiche tramite un’analisi d’impatto sull’attività, definire obiettivi di ripristino, formalizzare le procedure di emergenza e di trasferimento, quindi testare il dispositivo e rendicontare i risultati. Il controllo interno e l’audit interno vi svolgono un ruolo esplicito.
In pratica, il PCA è uno dei dispositivi più dichiarativi del corpus prudenziale. Il documento esiste quasi ovunque, la sua vitalità è molto più disomogenea. Gli obiettivi di ripristino, RTO e RPO, derivano da un’analisi d’impatto validata dalle funzioni di business, o sono ripresi da un modello standard? Il sito di emergenza ha già accolto un team in condizioni reali, con accesso alle applicazioni di produzione? I fornitori essenziali, hosting, operatore telecom, fornitore di switch monetico, sono contrattualmente vincolati a impegni di continuità verificabili? Molti istituti scoprono lo scostamento al primo test su scala reale.
Due evoluzioni rendono il tema più esigente. La crescita dei servizi di pagamento, della moneta elettronica e dell’interoperabilità regionale ha spostato la criticità verso catene tecniche largamente esternalizzate: l’indisponibilità di un fornitore diventa un’indisponibilità dell’istituto. Inoltre, i testi della BCEAO sulla sicurezza dei sistemi informativi e sull’esternalizzazione si sovrappongono al PCA. Un errore frequente consiste nel ridurre la continuità al piano di disaster recovery informatico, mentre la direttiva riguarda la continuità delle attività bancarie: casse, mezzi di pagamento, credito, contabilità regolamentare, relazione con la clientela.
L’audit di conformità si conclude con una risposta binaria: il piano esiste, è approvato, è testato. La diagnosi di maturità pone un’altra domanda. A quale livello di padronanza si trova ciascuna componente, e quale azione concreta fa passare al livello successivo. Un istituto il cui PCA viene testato una volta l’anno su uno scenario teorico e un istituto che effettua realmente il passaggio al proprio sito di emergenza sono entrambi conformi. Non sono allo stesso livello di maturità, e non reagiranno nello stesso modo.
In Datamensio, il quadro di riferimento è pronto all’uso e si adatta alla vostra organizzazione. L’IA regola gli ambiti, le domande e la formulazione dei livelli in base alle vostre dimensioni, al vostro modello e alle vostre attività, oppure costruisce una declinazione a partire dai vostri documenti: politica di continuità, analisi d’impatto, verbali dei test. Il gruppo bancario presente in più paesi dell’Unione può declinare lo stesso quadro di riferimento su ciascuna filiale e confrontare i risultati.
Norma di riferimento: Directive de la BCEAO relative au plan de continuité d’activité des établissements de crédit de l’UMOA
Gli ambiti valutati
Governance e politica di continuità
Politica formalizzata e approvata dall’organo deliberante, ruoli del responsabile PCA e dei referenti di business, comitato di pilotaggio, articolazione con il dispositivo di controllo interno, budget dedicato.
Analisi d’impatto sull’attività
Censimento delle attività e dei processi, criteri di criticità, determinazione delle durate massime di interruzione ammissibili, obiettivi di ripristino RTO e RPO, validazione da parte delle funzioni di business, frequenza di aggiornamento.
Scenari di sinistro e valutazione dei rischi
Scenari considerati (indisponibilità dei locali, del sistema informativo, del personale, di un fornitore, interruzione energia o telecomunicazioni), coerenza con la mappatura dei rischi operativi, revisione periodica.
Strategie e soluzioni di emergenza
Sito di emergenza per gli utenti, backup informatico e dei dati, dimensionamento delle risorse, modalità degradate documentate per casse, mezzi di pagamento e contabilità, procedure manuali sostitutive.
Dispositivo di gestione della crisi
Unità di crisi e sostituti, criteri e autorità di attivazione, registro degli eventi, mezzi di comunicazione di emergenza, procedure di ritorno alla normalità.
Fornitori essenziali ed esternalizzazione
Identificazione dei fornitori critici, clausole di continuità e livelli di servizio contrattualizzati, piani di continuità dei fornitori, test congiunti, strategie di reversibilità e sostituzione.
Test ed esercitazioni
Programma annuale di test, tipologie di esercitazioni (tabletop, passaggio tecnico, esercitazione con gli utenti), perimetro coperto, criteri di successo, verbale, monitoraggio delle azioni correttive fino alla chiusura.
Formazione, sensibilizzazione e documentazione
Formazione dell’unità di crisi e dei team di emergenza, sensibilizzazione dei collaboratori, accessibilità e versionamento delle procedure al di fuori del sistema informativo principale, elenchi di crisi aggiornati.
Continuità della relazione con la clientela e dei pagamenti
Mantenimento dei servizi ai clienti in modalità degradata, disponibilità degli sportelli automatici e della monetica, informazione della clientela, continuità degli scambi interbancari e dei sistemi regionali.
Controllo, reporting e miglioramento continuo
Controlli permanenti e periodici sul dispositivo, indicatori monitorati, reporting all’organo deliberante e all’autorità di vigilanza, lezioni apprese dopo incidenti, aggiornamento del piano.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Questa diagnosi vale come attestazione di conformità alla direttiva BCEAO?
No. Datamensio misura la maturità del vostro dispositivo e prepara il controllo, non rilascia alcuna attestazione. La conformità spetta alla Commission Bancaire dell’UMOA e ai vostri stessi lavori di controllo interno. La diagnosi vi dice a che punto siete e cosa resta da fare.
Che differenza c’è con un audit di conformità PCA?
L’audit verifica l’esistenza degli elementi richiesti e si conclude con uno scostamento o una conformità. La diagnosi posiziona ogni componente su una scala progressiva e indica l’azione che fa passare al livello successivo. I due si completano: la diagnosi prepara l’audit, l’audit convalida.
Quanto tempo richiede la valutazione?
La versione breve si compila in una sola sessione dal responsabile PCA. La versione completa, in modalità collaborativa con il controllo interno, l’IT e le funzioni di business, si estende generalmente su una o due settimane, con la maggior parte del tempo dedicata alla raccolta delle prove presso i team.
Il quadro di riferimento è adattabile al nostro istituto?
Sì. Potete modificare le domande, i livelli e gli ambiti, oppure partire dai vostri documenti: l’IA costruisce quindi una declinazione adattata al vostro modello, banca universale, istituto di pagamento o sistema finanziario decentrato. Il controllo del quadro di riferimento rimane vostro.
È possibile confrontare più filiali del gruppo?
Sì. Lo stesso quadro di riferimento si applica a ogni business unit, con un punteggio per ambito e un benchmark tra entità e rispetto alle campagne precedenti. Una roadmap trasversale consolida i piani d’azione delle diverse filiali ed evita di duplicare gli stessi interventi.
Come si articola il PCA con la sicurezza dei sistemi informativi e l’esternalizzazione?
I tre testi della BCEAO si sovrappongono sui fornitori critici, la disponibilità e la gestione degli incidenti. Una diagnosi PCA solida fornisce una base riutilizzabile per questi altri due quadri di riferimento, e la roadmap trasversale permette di incrociarli senza trattare due volte la stessa azione.
Cosa produce concretamente la diagnosi?
Un punteggio per ambito, un obiettivo, e lo scostamento tra i due che genera il piano d’azione. L’IA raggruppa le azioni in una roadmap prioritizzata, e il catalogo di prestazioni associa a ogni elemento una soluzione con il suo costo, i suoi tempi e il suo impatto sul punteggio. La restituzione dei risultati si condivide con la direzione generale in uno spazio personalizzato con i vostri colori.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.