Maturitatea Planului de continuitate a activității · Directiva BCEAO PCA
Dispozitivul dumneavoastră de continuitate a activității, măsurat pe directiva BCEAO și transpus în plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitatea Planului de continuitate a activității · Directiva BCEAO PCA
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Directiva BCEAO privind planul de continuitate a activității instituțiilor de credit din UMOA lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care leagă cele două) transformă o constatare într-o traiectorie.
Planul de continuitate a activității face obiectul unor teste ale căror rezultate sunt exploatate?
- N1
Niciun test nu a fost realizat. Planul există sub formă documentară și nu a fost niciodată verificat.
- N2
Au avut loc teste punctuale, limitate la un exercițiu pe hârtie sau la o componentă tehnică izolată. Constatările nu sunt formalizate.
- N3
Un program anual de teste este definit și aplicat pe activitățile critice. Fiecare exercițiu dă naștere unui raport și unor acțiuni corective identificate.
- N4
Testele includ o comutare reală pe locul de repliere cu utilizatorii vizați și implică prestatorii esențiali. Acțiunile corective sunt urmărite până la închidere și prezentate organului deliberativ.
- N5
Scenariile de testare evoluează în funcție de incidentele survenite și de modificările sistemului informatic. Rezultatele alimentează analiza de impact și revizuirea obiectivelor de recuperare, cu un istoric documentat de la un exercițiu la altul.
Acțiune pentru trecerea de la N2 la N3
Includerea în planul anual de control a unui program de teste care acoperă activitățile considerate critice de analiza de impact, desemnarea unui responsabil și a unei date pentru fiecare exercițiu, și formalizarea unui raport tip ale cărui acțiuni corective sunt revizuite la comitetul de riscuri următor.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe PCA.
Despre ce vorbește acest cadru de referință
Directiva BCEAO privind planul de continuitate a activității solicită instituțiilor de credit și instituțiilor financiare cu caracter bancar din UMOA să dispună de un dispozitiv scris, aprobat de organul deliberativ, care garantează continuarea activităților esențiale în caz de întrerupere majoră. Ea articulează patru obligații: identificarea activităților critice printr-o analiză de impact asupra activității, definirea obiectivelor de recuperare, formalizarea procedurilor de rezervă și de repliere, apoi testarea dispozitivului și raportarea rezultatelor. Controlul intern și auditul intern au un rol explicit în acest proces.
În practică, PCA este unul dintre cele mai declarative dispozitive din corpusul prudențial. Documentul există aproape pretutindeni, vitalitatea sa este mult mai inegală. Obiectivele de recuperare, RTO și RPO, provin dintr-o analiză de impact validată de departamentele operaționale, sau sunt preluate dintr-un model? Locul de repliere a găzduit deja o echipă în condiții reale, cu acces la aplicațiile de producție? Prestatorii esențiali, furnizorul de găzduire, operatorul de telecomunicații, furnizorul de switch monetic, sunt ținuți contractual la angajamente de continuitate verificabile? Multe instituții descoperă decalajul la primul test la scară reală.
Două evoluții fac subiectul mai exigent. Creșterea serviciilor de plată, a monedei electronice și a interoperabilității regionale a deplasat criticitatea spre lanțuri tehnice în mare parte externalizate: indisponibilitatea unui prestator devine indisponibilitatea instituției. Pe de altă parte, textele BCEAO privind securitatea sistemelor informatice și externalizarea se suprapun cu PCA. O confuzie frecventă constă în reducerea continuității la planul de recuperare informatică, în timp ce directiva vizează continuitatea activităților bancare: casierii, mijloace de plată, credit, contabilitate reglementară, relație cu clienții.
Auditul de conformitate se încheie cu un răspuns binar: planul există, este aprobat, este testat. Diagnosticul de maturitate pune o altă întrebare. La ce nivel de stăpânire se situează fiecare componentă și ce acțiune concretă permite trecerea la nivelul următor. O instituție al cărei PCA este testat o dată pe an pe un scenariu teoretic și o instituție care comută efectiv pe locul său de repliere sunt ambele „conforme”. Ele nu se află la același nivel de maturitate și nu vor reacționa în același mod.
În Datamensio, cadrul de referință este gata de utilizare și se adaptează la organizația dumneavoastră. IA ajustează domeniile tematice, întrebările și formularea nivelurilor în funcție de dimensiunea, modelul și activitățile dumneavoastră, sau construiește o variantă pornind de la propriile dumneavoastră documente: politica de continuitate, analiza de impact, rapoarte ale testelor. Grupul bancar prezent în mai multe țări ale Uniunii poate aplica același cadru de referință pe fiecare filială și compara rezultatele.
Standard de referință: Directiva BCEAO privind planul de continuitate a activității instituțiilor de credit din UMOA
Domeniile tematice evaluate
Guvernanță și politică de continuitate
Politică formalizată și aprobată de organul deliberativ, roluri ale responsabilului PCA și ale corespondenților din departamentele operaționale, comitet de coordonare, articulare cu dispozitivul de control intern, buget dedicat.
Analiza de impact asupra activității
Inventarierea activităților și proceselor, criterii de criticitate, determinarea duratelor maxime de întrerupere admisibile, obiective de recuperare RTO și RPO, validare de către departamentele operaționale, frecvența actualizării.
Scenarii de sinistru și evaluarea riscurilor
Scenarii reținute (indisponibilitatea sediilor, a sistemului informatic, a personalului, a unui prestator, întrerupere de energie sau telecomunicații), coerență cu cartografia riscurilor operaționale, revizuire periodică.
Strategii și soluții de repliere
Loc de repliere pentru utilizatori, rezervă informatică și de date, dimensionarea resurselor, moduri degradate documentate pentru casierii, mijloace de plată și contabilitate, proceduri manuale de substituție.
Dispozitivul de gestionare a crizei
Celulă de criză și supleanți, criterii și autoritate de declanșare, jurnal de evenimente, mijloace de comunicare de rezervă, proceduri de revenire la normal.
Prestatori esențiali și externalizare
Identificarea prestatorilor critici, clauze de continuitate și niveluri de serviciu contractualizate, planuri de continuitate ale prestatorilor, teste comune, strategii de reversibilitate și de substituție.
Teste și exerciții
Program anual de teste, tipuri de exerciții (pe hârtie, comutare tehnică, exercițiu cu utilizatorii), perimetru acoperit, criterii de reușită, raport, urmărirea acțiunilor corective până la închidere.
Formare, sensibilizare și documentare
Formarea celulei de criză și a echipelor de repliere, sensibilizarea colaboratorilor, accesibilitatea și versionarea procedurilor în afara sistemului informatic principal, anuare de criză actualizate.
Continuitatea relației cu clienții și a plăților
Menținerea serviciilor către clienți în mod degradat, disponibilitatea bancomatelor și a serviciilor monetice, informarea clientelei, continuitatea schimburilor interbancare și a sistemelor regionale.
Control, raportare și îmbunătățire continuă
Controale permanente și periodice asupra dispozitivului, indicatori urmăriți, raportare către organul deliberativ și autoritatea de supraveghere, retrageri de învățăminte după incident, actualizarea planului.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Acest diagnostic reprezintă o atestare de conformitate cu directiva BCEAO?
Nu. Datamensio măsoară maturitatea dispozitivului dumneavoastră și pregătește controlul, nu eliberează nicio atestare. Conformitatea ține de Comisia Bancară din UMOA și de propriile dumneavoastră lucrări de control intern. Diagnosticul vă spune unde vă aflați și ce mai rămâne de făcut.
Care este diferența față de un audit de conformitate PCA?
Auditul verifică existența elementelor cerute și se încheie cu un decalaj sau o conformitate. Diagnosticul încadrează fiecare componentă pe o scară progresivă și indică acțiunea care permite trecerea la nivelul următor. Cele două se completează: diagnosticul pregătește auditul, auditul validează.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o singură ședință de către responsabilul PCA. Versiunea completă, în mod colaborativ cu controlul intern, DSI și departamentele operaționale, se desfășoară în general pe o săptămână până la două, cea mai mare parte a timpului fiind dedicată colectării dovezilor de la echipe.
Cadrul de referință este adaptabil instituției noastre?
Da. Modificați întrebările, nivelurile și domeniile tematice, sau porniți de la propriile dumneavoastră documente: IA construiește atunci o variantă adaptată modelului dumneavoastră, bancă universală, instituție de plată sau sistem financiar descentralizat. Stăpânirea cadrului de referință vă aparține.
Se pot compara mai multe filiale ale grupului?
Da. Același cadru de referință se aplică pe fiecare unitate de afaceri, cu un scor pe domeniu tematic și un benchmark între entități și în raport cu campaniile anterioare. O foaie de parcurs transversală consolidează planurile de acțiune ale diferitelor filiale și evită duplicarea acelorași șantiere.
Cum se articulează PCA cu securitatea sistemelor informatice și externalizarea?
Cele trei texte BCEAO se suprapun pe tema prestatorilor critici, a disponibilității și a gestionării incidentelor. Un diagnostic PCA solid oferă o bază reutilizabilă pentru aceste două alte cadre de referință, iar foaia de parcurs transversală permite încrucișarea lor fără a trata de două ori aceeași acțiune.
Ce produce concret diagnosticul?
Un scor pe domeniu tematic, o țintă și decalajul dintre cele două care generează planul de acțiune. IA grupează acțiunile într-o foaie de parcurs prioritizată, iar catalogul de prestații asociază fiecărui element o soluție cu costul, termenul și impactul său asupra scorului. Prezentarea rezultatelor se partajează cu conducerea generală într-un spațiu personalizat cu identitatea dumneavoastră vizuală.
Unde sunt găzduite datele?
În Franța, la OVH, cu salvare la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluții europene.