Dojrzałość planu ciągłości działania · Dyrektywa BCEAO PCA

Dyrektywa BCEAO dotycząca planu ciągłości działania wymaga od instytucji kredytowych oraz instytucji finansowych o charakterze bankowym w UMOA posiadania pisemnego dyspozytywu, zatwierdzonego przez organ zarządzający, który gwarantuje kontynuację działalności podstawowej w przypadku poważnego zakłócenia. Ustanawia ona cztery obowiązki: zidentyfikowanie działalności krytycznych poprzez analizę wpływu na działalność, określenie celów odtworzenia, sformalizowanie procedur awaryjnych i zastępczych, a następnie przetestowanie dyspozytywu i sprawozdanie z wyników. Kontrola wewnętrzna oraz audyt wewnętrzny odgrywają w tym procesie wyraźnie określoną rolę.

W praktyce PCA jest jednym z najbardziej deklaratywnych dyspozytywów całego korpusu ostrożnościowego. Dokument istnieje niemal wszędzie, jego żywotność jest znacznie bardziej nierówna. Czy cele odtworzenia, RTO i RPO, wynikają z analizy wpływu zatwierdzonej przez jednostki biznesowe, czy zostały przejęte z szablonu. Czy ośrodek zapasowy przyjął już kiedykolwiek zespół w warunkach rzeczywistych, z dostępem do aplikacji produkcyjnych. Czy istotni dostawcy, operator hostingowy, operator telekomunikacyjny, dostawca przełącznika kart płatniczych, są zobowiązani umownie do weryfikowalnych zobowiązań ciągłości. Wiele instytucji odkrywa lukę dopiero przy pierwszym teście w rzeczywistej skali.

Dwie zmiany czynią ten temat bardziej wymagającym. Wzrost znaczenia usług płatniczych, pieniądza elektronicznego i interoperacyjności regionalnej przesunął krytyczność w stronę łańcuchów technicznych w dużej mierze zlecanych na zewnątrz: niedostępność dostawcy staje się niedostępnością instytucji. Ponadto teksty BCEAO dotyczące bezpieczeństwa systemów informatycznych oraz outsourcingu nakładają się na PCA. Częstym błędem jest sprowadzanie ciągłości do planu odtwarzania informatycznego, podczas gdy dyrektywa dotyczy ciągłości działalności bankowej: kas, środków płatniczych, kredytu, księgowości regulacyjnej, relacji z klientem.

Audyt zgodności kończy się odpowiedzią binarną: plan istnieje, jest zatwierdzony, jest testowany. Diagnoza dojrzałości stawia inne pytanie. Na jakim poziomie opanowania znajduje się każdy element i jakie konkretne działanie pozwala przejść na kolejny poziom. Instytucja, której PCA jest testowany raz w roku na scenariuszu teoretycznym, oraz instytucja, która faktycznie przełącza się na swój ośrodek zapasowy, obie są „zgodne”. Nie znajdują się jednak na tym samym poziomie dojrzałości i nie zareagują w ten sam sposób.

W Datamensio model referencyjny jest gotowy do użycia i dostosowuje się do Państwa organizacji. Sztuczna inteligencja dopasowuje obszary tematyczne, pytania oraz sformułowania poziomów w zależności od wielkości, modelu i rodzaju działalności Państwa instytucji, lub buduje wariant na podstawie Państwa własnych dokumentów: polityki ciągłości, analizy wpływu, raportów z testów. Grupa bankowa obecna w kilku krajach Unii może zastosować ten sam model referencyjny w każdej spółce zależnej i porównać wyniki.