UPRAVLJANJE KONTINUITETOM POSLOVANJA U FINANCIJSKOJ INDUSTRIJI REGULATORNO OKRUŽENJE I DOBRE PRAKSE mr. sc. Antonio Valčić savjetnik Direkcija za specijalistički izravni nadzor banaka BCM Adriatic - 2013.
Sadržaj Uvodno o planiranju kontinuiteta poslovanja Relevantna domaća regulativa Pregled najboljih praksi Pregled relevantnih istraživanja Aspekti unaprjeđenja BCM-a sukladno problemima u praksi 2
Referencirana istraživanja Bank of Japan Questionnaire Survey on Business Continuity Management (2012) Financijska industrija (165 institucija), od toga 11 velikih banki i 27 stranih banki i investicijskobrokerskih kompanija Business Continuity Institute Business Continuity Research (2005) 251 kompanija iz raznih industrija u UK Chartered Management Institute The 2013 Business Continuity Management Survey Velik broj kompanija u UK BC Management, Inc Business Continuity Program Management Benchmarking Report-Executive Summary (2009) 2043 sudionika ispitivanja iz 50 zemalja od čega 1364 kompanije iz SAD-a iz 45 industrija FSA, Bank of England i HM Treasury Resilience Benchmarking Project (2008 i 2011) preko 60 najznačajnijih pružatelja financijskih usluga 3
Što se zapravo očekuje od BCM-a? Najveći broj sudionika prilično jasno zna što očekivati od BCM-a Neki zaista pretjeruju (running smoothly at all times, being ready for anything). Cost-efficiency. Neki promatraju BCM kroz prizmu tehnološkog rješenja 4
Okruženje u kojem se razvija BCM U 70-im godinama 20. stoljeća stvaraju se uvjeti za ukidanje ograničenja na veliko kretanje kapitala i liberalizaciju tržišta Dolazi do značajnih promjena u poslovanju koje uključuju razvoj novih financijskih instrumenata i diverzifikaciju poslovanja, integraciju u financijskoj industriji te napredak u razvoju informatičke i komunikacijske tehnologije U tom kontekstu događa se i globalizacija poslovanja Navedeno se očituje kroz: razvoj sve složenijih proizvoda (npr. derivati za zaštitu od promjena vrijednosti na tržištu) korištenje tehnika za smanjenje/prijenos drugih tipova rizika (npr. kreditni derivati, sekuritizacija) 5
Okruženje u kojem se razvija BCM sve prisutnije konsolidacije i unutarnje reorganizacije sve agresivnija nastojanja za maksimiziranjem kratkoročne dobiti sve veće oslanjanje na informacijsku i tehnologiju općenito (sve veći udio i elektronskog trgovanja) razvoj brojnih novih kanala distribucije eksternaliziranje aktivnosti Neprocjenjiv utjecaj financijskih usluga i bankarstva na funkcioniranje gospodarstva Isprepletenost sudionika na tržištu Pojava sve značajnijih gubitaka i rizika u poslovanju sa sve izraženijim karakteristikama internacionalizacije krize Razvoj discipline upravljanja rizicima upravljanje informacijskim sustavom i s tim povezanim rizicima upravljanje operativnim rizikom 6
CCP - Central Counterparty Clearing House LVPS - Large Value Payment System ICSID - International Centre for Settlement of Investment Disputes CSO - Clearing and Settlement Organization PVP Systems - Payment Versus Payment Systems L. Radecki: System Interdependencies; Payment System Policy and Oversight Course, Federal Reserve Bank of New York, May 12-16, 2008; 7
Okruženje u kojem se razvija BCM Kontinuitet poslovanja zadatak je rukovodstva institucije ne samo u skladu s odgovornošću prema vlasnicima i klijentima nego i zbog utjecaja pojedine institucije na ostale sudionike tržišta tj. na čitav sustav Ne samo da individualna institucija postaje otpornija na neželjene događaje već može preuzeti i veće opterećenje u trenucima krize Zato su i financijska industrija i regulatorna zajednica uvidjeli važnost usmjeravanja i reguliranja kontinuiteta poslovanja 8
Osnovno o BCM-u Upravljanje kontinuitetom poslovanja je sveobuhvatni proces upravljanja koji obuhvaća utvrđivanje potencijalnog učinka neželjenog događaja za kompaniju i stvara okvir za otpornost i kontinuitet poslovanja kao i učinkovit odgovor...sve u cilju očuvanja interesa vlasnika, dionika (stakeholders), reputacije i aktivnosti koje stvaraju vrijednost BCM je vlasništvo organizacije i potpuno integriran u procese upravljanja The BCM Lifecycle - BS 25999-1 9
Percipirana korist BCM-a Zašto BCM i koji su ciljevi? Ciljevi BCM-a Inicijativa za BCM 10
Koji su eksterni faktori koji potiču na BCM? 11
Koji je utjecaj narušavanja/prekida poslovanja na organizaciju BCM vs. No BCM? 12
Percipirani i stvarni uzroci prekida poslovanja Percipirana najveća prijetnja Percipirana najveća prijetnja Realizirana najveća prijetnja 13
Percipirani i stvarni uzroci prekida poslovanja 14
Percipirani i stvarni uzroci prekida poslovanja 15
Utjecaj na organizaciju u ekstremnim vremenskim prilikama 16
Regulatorni okvir za kreditne institucije u RH Zakon o kreditnim institucijama ZOKI, čl. 122(3) Upravljanje operativnim rizikom- Kreditna institucija dužna je donijeti plan kontinuiteta poslovanja kojim se osigurava kontinuitet poslovanja i ograničavaju gubici u slučajevima znatnijeg narušavanja ili prekida poslovanja ZOKI, čl. 121(1., 4. i 5.) Upravljanje likvidnosnim rizikom - Kreditna institucija dužna je: 1) propisati primjerene politike i postupke upravljanja likvidnosnim rizikom te uspostaviti primjerene postupke za kontinuirano upravljanje likvidnosnim rizikom 4) donijeti odgovarajuće planove postupanja u kriznim situacijama kojima će se definirati aktivnosti za rješavanje likvidnosnih kriza i 5) redovito provoditi analize različitih scenarija i preispitivati pretpostavke na kojima se analize zasnivaju. 17
Regulatorni okvir za kreditne institucije u RH Odluka o upravljanju rizicima čl. 41.-43. Uspostaviti proces upravljanja kontinuitetom poslovanja kojim se osigurava kontinuitet poslovanja i ograničavaju gubici u slučajevima znatnijeg narušavanja ili prekida poslovanja U sklopu tog procesa KI treba utvrditi i odrediti ključne/kritične poslovne aktivnosti, procese, sustave (uključujući i eksternalizirane) i razinu usluge koju kreditna institucija mora održavati ili pravovremeno obnoviti te s tim u svezi: 1) procijeniti utjecaj njihova narušavanja ili prekida na poslovanje kreditne institucije i utvrditi s tim povezane rizike i 2) odrediti prioritete, vremenski okvir i strategiju za održavanje/obnovu utvrđenih ključnih poslovnih aktivnosti, procesa, sustava i razine usluge. 18
Regulatorni okvir za kreditne institucije u RH Odluka o upravljanju rizicima čl. 41.-43. Donijeti Plan kontinuiteta poslovanja kojim se osigurava kontinuitet poslovanja odnosno pravodobna ponovna uspostava ključnih poslovnih aktivnosti, procesa, sustava i razine usluge te ograničavaju gubici u slučajevima znatnijeg narušavanja ili prekida poslovanja Redovito revidirati plan kontinuiteta poslovanja u skladu s poslovnim promjenama, uključujući promjene u proizvodima, aktivnostima, procesima i sustavima, promjenama u okružju te poslovnom strategijom i ciljevima kreditne institucije Testirati plan kontinuiteta poslovanja te dokumentirati rezultate testiranja. 19
Regulatorni okvir za kreditne institucije u RH Odluka o upravljanju rizicima čl. 41.-43. U sklopu sustava izvještavanja o izloženosti operativnom riziku KI je dužna izvještavati upravu i relevantne razine upravljanja kreditnom institucijom o svim relevantnim činjenicama koje se odnose na planiranje kontinuiteta poslovanja osobito o testiranju plana kontinuiteta poslovanja i značajnijim promjenama u upravljanju kontinuitetom poslovanja U slučaju okolnosti koje zahtijevaju pokretanje plana kontinuiteta poslovanja, potrebno bez odgađanja obavijestiti HNB o svim relevantnim činjenicama i okolnostima koje se na to odnose 20
Trend uspostave BCM-a 21
Učinkovitost BCM-a?! Kada se pita o uvjerenosti da je BCM plan učinkovit odgovori su drugačiji 22
Neke važne značajke BCM-a Politika upravljanja kontinuitetom poslovanja i upravljanje cjelokupnim programom/procesom BCM podržava ciljeve i kulturu poslovanja kompanije Određivanje opsega BCM-a Izrada politike Određivanje odgovornosti Upravljanje projektom Implementacija u organizaciji Dokumentacija 23
Odgovornost za uspostavu BCM-a 24
Razumijevanje organizacije Razumijevanje organizacije ključan je element primjerenog BCM-a Utvrđuju se ključni proizvodi, procesi, usluge, aktivnosti institucije Utvrđuje se kritičnost/ključnost aktivnosti koje podržavaju poslovanje Razumijevanje organizacije postiže se kroz provođenje analize utjecaja na poslovanje analize zahtjeva u cilju kontinuiteta poslovanja procjene rizika 25
Analiza utjecaja na poslovanje Analizom utjecaja na poslovanje (BIA) utvrđuju se i određuju ključne/kritične poslovne aktivnosti, procesi, sustavi (uključujući i eksternalizirani) procjenjuje se utjecaj njihova narušavanja ili prekida na poslovanje kreditne institucije određuju se prioriteti i vremenski okvir za održavanje/obnovu utvrđenih ključnih poslovnih aktivnosti, procesa, sustava i razine usluge BIA mora za svaku aktivnost/proizvod/uslugu dokumentirati utjecaj narušavanja ili prekida tijekom vremena utvrditi Maximum Tolerable Period of Disruption (MTPD) odnosno Recovery Time objective (RTO) utvrditi interne i eksterne međuzavisnosti potrebne za kontinuitet utvrditi Recovery Point Objective (RPO) 26
Što smatraju najvažnijim? 27
Što je najvažnije obnoviti nakon znatnog narušavanja ili prekida poslovanja? Praksa pokazuje da su financijskim institucijama u svijetu, ali i regulatorima najvažniji sustavi velikih plaćanja uključujući i međubankarsko plaćanje te kliring i namira trgovanja Razina usluge se mora obnoviti u što je moguće kraćem vremenu kako bi se osiguralo uobičajeno poslovanje tržišta i povjerenje u financijski sustav (reputacijski, operativni rizik i rizik likvidnosti) Rijetki regulatori su objavili pravila u tom smislu 28
Primjeri za RTO iz svijeta FSA je neformalno objavila RTO za core firms and financial infrastructure providers reasonable targets would be to recover 60-80% of normal values and volumes within four hours, risng to 80-100% by the next working day for retail payment 80-100% by the next working day FSA, Bank of England i HM Treasury; Resilience Benchmarking Project (2005 i 2008) 29
Upravljanje kontinuitetom poslovanja u Švicarskom financijskom centru Business Continuity Planning in the Swiss Financial Centre A Joint Paper by an Industry Group of the Swiss Financial Centre, January 2006 Swiss National Bank SNB, Swiss Federal Banking Commission SFBC, Credit Suisse, UBS, PostFinance, SIS Group, Swiss Exchange SWX, Telekurs Group Glavni ciljevi Utvrditi sisitemski kritične dijelove poslovanja - Settlement of large value payments via Swiss Interbank Clearing SIC and liquidity provision via repo Odrediti scenarije neželjenog događaja velikog intenziteta ( disaster scenarios ) - Physical loss of any key building with all employees working there 30
Ciljani scenariji i RTO Široki konsenzus oko ciljanog scenarija Spremnost za EL i UL scenarije se podrazumijeva Razlog gubitka u scenariju 5. je irelevantan Adekvatna priprema za 5. scenarij posredno doprinosi i pripremi za višestruke događaje Centralna infrastruktura Swiss National Bank osigurava likvidnost i upravlja računima namire Eurex/SWX Repo trading SECOM/SIS Repo settlement SIC/Telekurs Payment settlement 31
Suradnja i krizna organizacija S obzirom da nije moguće predvidjeti sve moguće događaje fokus je stavljen na kriznu komunikaciju Od institucija se traži surađuju na svim relevantnim razinama poslovanja 32
Metode i tehnike koje se koriste za BIA-u Metode, alati i tehnike uključuju Radionice mogu dati brzi rezultat i mogućnost neposrednog angažmana, što rezultira većom prihvaćenošću Strukturirani upitnici pružaju veliku količinu podataka, ali kvaliteta informacija može biti upitna s obzirom na konzistenciju Intervjui pružaju vrlo dobru informaciju, ali su vremenski zahtjevni, a rezultat može varirati u formi i razini detalja Kombinacije metoda daju najbolji rezultat kao i kod procjene operativnog rizika 33
Analiza zahtjeva i procjena rizika U sklopu analize zahtjeva prikupljaju se i analiziraju informacije o resursima potrebnim za održavanje/obnovu poslovnih aktivnosti ljudi, tehnologija, komunikacija Procjena rizika identifikacija internih i eksternih prijetnji koje mogu uzrokovati narušavanje ili prekid poslovanja procjena vjerojatnosti i učinka i u tom kontekstu prioretizacija komunikacija procijenjenih rizika i kreiranje plana aktivnosti Alati za procjenu rizika stablo događaja, matrica ranjivosti i prijetnji, skoring sustavi cost benefit analiza 34
Određivanje BCM strategije Temeljem provedene analize utjecaja na poslovanje i razumijevanja organizacije određuje se strategija za održavanje/obnovu ključnih poslovnih aktivnosti, procesa, sustava i razine usluge Strategija BCM-a je u skladu s poslovnim ciljevima, regulatornim usmjerenjima i učinkovita u smislu troškova odnosno isplativosti Neki od primjera diverzifikacija u smislu geografskog položaja, dostupnih dobavljača, distribucijskih kanala (e-commerce i internet), dupliciranje infrastrukture 35
Određivanje BCM strategije Za svaku aktivnost, proizvod, uslugu određuje se prikladna taktika imajući u vidu ljude, vještine, znanja mapiranje procesa i detaljno dokumentiranje, dodatni trening drugih vještina fizički položaj udaljeni rad, premještaj, recipročni aranžmani, diverzifikacija lokacija tehnologiju data/procesni centar, ship in aranžmane, komunikacijska rješenja informaciju povjerljivost, integritet, raspoloživost dobavu dodatne zalihe, dodatni ugovori o nabavi dionike (stakeholders) 36
Razvoj i implementacija BCM-a Cilj izrade planova u sklopu implemetacije BCM-a je utvrđivanje potrebnih aktivnosti i resursa potrebnih da kompanija prevlada narušavanje ili prekid poslovanja Incident response structure Ključni zahtjevi za učinkovit odgovor na neželjene događaje su jasna procedura za eskalaciju i kontrolu incidenta komunikacija s dionicima planovi za obnovu narušenih/prekinutih procesa BCI:Good Practice Guidelines 2008; Gold, Silver and Bronze model 37
Razvoj i implementacija BCM-a Plan upravljanja incidentima pruža dokumentirani okvir koji omogućava kompaniji upravljanje kriznim događajem neovisno o izvoru/uzroku Plan upravljanja incidentima uzima u obzir i adresira uloge i odgovornosti npr. komunikacija, odobravanje troškova, preklapanje s drugim timovima i planovima, praćenje obnove poslovanja upute za aktivaciju plana i timova mjesta za koordinaciju i sastanke resurse aktivnosti ljudi npr. evakuacija, posebne potrebe, prijevoz planovi komunikacije klijenti, osoblje, obitelji, vlasnici, regulatori... 38
Uobičajeni elementi BCM-a 39
Razvoj i implementacija BCM-a Plan kontinuiteta poslovanja pruža dokumentirani okvir koji omogućava kompaniji ponovnu uspostavu poslovanja u skladu s definiranim RTO Plan sadrži vlasnika, odgovornu osobu za održavanje, detaljno propisane uloge i odgovornosti, procedure za pokretanje plana Detaljnije, Plan obuhvaća detaljne procedure za tim način donošenja odluka, mobilizacija resursa, pokretanje poslovnih aktivnosti, izvještavanje zahtjevi na resurse ljudi, tehnologija, transport i logistika, izvori financiranja u hitnosti ključne informacije o klijentima, kontakti, pravni dokumenti (ugovori, police osiguranja) 40
S kojim problemima su se susreli u Japanu? Dostatnost goriva Hrana, voda Osnovna radna infrastruktura 41
Razni aspekti osiguranja resursa i komunikacijskog sustava Dostatnost resursa za operativni kontinuitet poslovanja Proces pokretanja BCM-a, odlučivanje i komunikacija 42
Testiranje BCM-a 43
Testiranje BCM-a koje se treba unaprjediti u budućnosti Na što se usredotočiti u cilju osiguranja kontinuiteta kritičnih procesa 44
Budući izazovi u razvoju BCM-a 45
Kako unaprijediti BCM? Više rukovodstvo i Uprava moraju preuzeti potpunu odgovornost za BCM i osigurati da su planovi prikladno razvijeni, održavani te da su s njima upoznati svi relevantni dionici BCM mora biti sveobuhvatna aktivnost koja obuhvaća sve potrebne organizacijske jedinice i funkcije, a ne samo IT fokusiran DRP BCM mora uzeti u obzir i treće strane na način da ih uključi u svoje planove kroz aktivnije planiranje, procjenu rizika i testiranje, što će otkloniti pretpostavke i pružiti pouzdanu informaciju Pokazuje se da kompanije moraju veću pozornost dati planiranju kriznih situacija posebice u svezi ljudi 46
Kako unaprijediti BCM? Podcjenjuje se problem nedostatka/nepripremljenosti ljudi Nastoji se optimizirati potreban broj ljudi na back-up site-ovima Jedan od ključnih problema je koncentracija resursa u smislu fizičke i tehnološke infrastrukture u velikim financijskim središtima Jedno od mogućih rješenja je preseljenje nekih dijelova poslovanja u druge krajeve koji ne mogu biti pogođeni istim izvorom/uzrokom Porazni rezultati uvjerenja u učinkovitost BCM-a Iznimno velika ovisnost o telekomunikacijskoj infrastrukturi. Potrebno je povećati transparentnost i poboljšati koordinaciju planiranja i testiranja Podcjenjuje se problem nefunkcioniranja javnog prijevoza 47
Kako unaprijediti BCM? Sve veća učestalost i učinak vremenskih nepogoda koje značajno utječu na kontinuitet poslovanja Rad s udaljene lokacije se pokazao kao vrlo učinkovita BCM mjera kroz razvoj IT infrastrukture. Zahtjeva pažljivo upravljanje poslovnih aktivnosti uključujući i komunikaciju Trening, komunikacija, trening, komunikacija... Iako se pokazalo da svinjska gripa nije utjecala na narušavanje poslovanja koliko se predviđalo organizacije moraju i dalje biti spremne na pandemijske zaraze Sveobuhvatnije testiranje BCM-a, a ne samo DRP-a 48
HVALA NA POZORNOSTI! Pitanja, razmišljanja, ideje? mr. sc. Antonio Valčić, MBA savjetnik CISSP Direkcija za specijalistički izravni nadzor banaka HRVATSKA NARODNA BANKA Trg hrvatskih velikana 3, 10002 Zagreb tel: +385 1 4565037 mob: +385 99 4564582 fax: +385 1 4565052 e-mail: antonio.valcic@hnb.hr 49