Come può essere compromessa la continuità operativa?
L'obiettivo della pianificazione della continuità operativa di Bondora è di garantire la continuità delle attività aziendali durante le emergenze ed il ripristino delle attività aziendali e dei sistemi IT dopo le emergenze. Questa sezione esamina le attività di continuità operativa non legate al settore IT. Le problematiche di continuità operativa legate all'IT sono state affrontate nella sezione Rischio informatico.
Per emergenze si intendono tutte le interruzioni di attività che si verificano indipendentemente da Bondora, che includono, a titolo esemplificativo e non esaustivo, la perdita di personale, i problemi associati all'ubicazione fisica o all'infrastruttura di Bondora, un guasto o un problema simile che coinvolge i sistemi informativi di Bondora e gli incidenti esterni (ad esempio, un incendio).
Il processo di continuità operativa di Bondora è gestito dal Consiglio di Amministrazione in conformità con i piani di continuità operativa sviluppati per ciascuna area, come di seguito indicato:
- Servizio clienti e canali: comprende eventi che riguardano il servizio clienti ed i canali di comunicazione;
- Edifici, sicurezza fisica e trasporti: comprende la risposta a incendi, inondazioni ed altri eventi di questo tipo presso le sedi di Bondora; minacce alla sicurezza, come rapine, terrorismo e frodi; ed il trasporto del personale e dei supporti dati;
- Sicurezza informatica legata all'IT ed alle comunicazioni: comprende gli incidenti legati alla sicurezza informatica, il supporto IT in situazioni di emergenza non legate all'IT e la gestione di situazioni che implicano la comunicazione di dati e la telefonia;
- Personale: comprende situazioni che riguardano le risorse umane, come la perdita di vite umane, malattie di massa, ecc. e l'organizzazione delle comunicazioni, se del caso, con i parenti ed altre parti interessate;
- Credito: comprende la gestione delle situazioni relative al processo di credito;
- Legale: comprende la fornitura di assistenza legale in circostanze straordinarie e la risposta a situazioni di emergenza di natura legale;
- Responsabili di reparto: comprende l'attuazione di piani di continuità operativa nelle rispettive aree; e
- Altre aree, come stabilito dal Consiglio di Amministrazione.
Ogni piano di continuità operativa definisce chiaramente le responsabilità e le linee di autorità. I cambiamenti nei processi commerciali, nel personale e nelle risorse di Bondora (ad es. sistemi informativi, applicazioni software) sono registrati nei relativi piani di continuità operativa.
Tutti i piani di continuità operativa contengono le seguenti componenti:
- Procedure di emergenza volte a garantire la sicurezza del personale
- La funzione dei servizi informativi, i ruoli e gli obblighi dei fornitori che forniscono servizi di ripristino ed il personale di supporto amministrativo degli utenti del servizio
- Piani di comunicazione per informare le parti interessate, tra cui il personale, i clienti e l'Autorità di vigilanza finanziaria estone, di un evento straordinario e dello stato di ripristino
- Elenco delle risorse di sistema per le quali possono essere necessarie alternative, come hardware, dispositivi esterni, software, ecc.
- Elenco prioritario delle applicazioni, tempi di recupero richiesti e norme di attuazione previste;
- Scenari di ripristino sufficientemente dettagliati passo dopo passo, insieme a risposte adeguate, a partire dalle situazioni in cui il danno è limitato fino a quelle in cui il danno è significativamente maggiore
- Descrizione dei dispositivi e degli accessori speciali (ad es. dispositivi di comunicazione, telefoni, ecc.) che possono essere necessari, insieme a fonti designate ed alternative
- Programma dei test, risultati dei test precedenti e misure aggiuntive implementate a seguito dei test precedenti
- Elenco dei fornitori di servizi contrattuali, dei servizi che essi forniscono e delle risposte attese
- Informazioni sulla localizzazione di risorse importanti, comprese le posizioni di back-up per gli accordi critici, i file dei clienti, i sistemi operativi, le applicazioni, i file di dati, i manuali d'uso ed i programmi, la documentazione di sistema e per l'utente
- Informazioni aggiornate per i membri del personale in posizioni chiave: nomi, indirizzi, numeri di telefono, altri dispositivi di comunicazione
- Alternative per la ripresa dell'attività professionale, come nel caso in cui i sistemi siano stati ripristinati in un luogo alternativo ed i luoghi di lavoro dei dipendenti siano stati distrutti
I piani di continuità operativa richiedono che le copie di backup dei dati critici, delle risorse e di altri materiali siano conservate in luoghi appropriati.
Il Consiglio di Amministrazione, un dipendente designato da quest'ultimo o una terza parte notificherà ai soggetti elencati nel piano di continuità operativa che il piano sia stato attuato. Il Consiglio di Amministrazione è responsabile della notifica all'Autorità di Vigilanza Finanziaria Estone.
Entro tre giorni lavorativi, al più tardi, dopo il ripristino delle normali attività aziendali, deve essere presentata all'Autorità di Vigilanza Finanziaria Estone una descrizione dell'incidente, compresi i seguenti dati:
- Ora del disservizio
- Portata ed impatto del disservizio
- Descrizione delle misure adottate per affrontare il disservizio
- Causa del disservizio
- Misure che saranno attuate per evitare simili disservizi in futuro
Il Consiglio di Amministrazione esamina ed approva regolarmente, almeno una volta all'anno, i piani di continuità operativa ed i risultati dei test. A seguito del lancio di un nuovo componente dell'infrastruttura dei processi aziendali critici, o di un'applicazione software, di importanti cambiamenti del personale o di altri sviluppi ritenuti necessari, il Consiglio di Amministrazione esaminerà più frequentemente i piani di continuità operativa ed i risultati dei test.
I piani di continuità operativa sono valutati da un revisore interno; se necessario, potrà essere effettuato anche un audit esterno.