‌الدليل التنظيمي لإدارة استمرارية الأعمال

خطة إدارة الأزمات المبدأ يجب على المؤسسة المالية تحديد، واعتماد، وتطبيق خطة لإدارة الأزمات ولتمكين الاستجابة والتواصل الفعال في حال الحوادث الكبرى، ولضمان السلامة العامة لأصحاب المصلحة الداخليين والخارجيين. الهدف التأكد أن لدى المؤسسة المالية خطة فعالة ومحدثة لإدارة الأزمات في حال وقوع حادث معطّل للمنتجات، والخدمات، ووظائف الأعمال، والعمليات الحساسة لديها. الضوابط الأساسية 1. يجب تحديد خطة لإدارة الأزمات واعتمادها وتطبيقها. 2. يجب مراقبة الالتزام بخطة إدارة الأزمات. 3. يجب قياس وتقييم مدى فعالية برنامج استمرارية الأعمال ضمن خطة إدارة الأزمات بشكل دوري. 4. يجب على المؤسسة المالية توثيق خطة (خطط) إدارة الأزمات لتحديد كيفية التعامل مع وإدارة الأزمات الناتجة عن حادثة (حوادث) كبرى، وأن تتضمن الآتي كحد أدنى: أ. معايير تأكيد الأزمة. ب. يجب على المؤسسة المالية إنشاء مركز أساسي واحتياطي للإدارة المركزية للطوارئ. ج. تحديد أعضاء فريق إدارة الأزمات، ومراعاة توافر ممثلي إدارة الأعمال للمنتجات والخدمات والوظائف والعمليات الحساسية في المؤسسة المالية (بما يشمل إدارة التواصل). د. بيانات التواصل لأعضاء فريق إدارة الأزمات (بما يشمل الأطراف الثالثة). هـ. تحديد الخطوات الواجب اتخاذها أثناء وبعد الأزمة أو الكارثة (بما يشمل التفويضات اللازمة). و. خطة التواصل متضمنة خطة الاستجابة الإعلامية لمعالجة التواصل أثناء الأزمات مع أصحاب المصلحة الداخليين والخارجيين. ز. وتيرة الاختبارات لإدارة الأزمات. 9.2 الاختبارات المبدأ يجب على المؤسسة المالية تحديد، واعتماد، وتطبيق، ومراقبة الاختبارات الدورية لاستمرارية الأعمال وخطط التعافي من الكوارث بما يمكن تدريب موظفيها والأطراف الثالثة، واختبار فعالية خطط استمرارية الأعمال والتعافي من الكوارث. الهدف التأكد من ملائمة الخطط الحالية لاستمرارية الأعمال والتعافي من الكوارث للمؤسسة المالية، وأن الموظفين والأطراف الخارجية مدربون على تطبيق هذه الخطط. 1.9.2 اختبار خطة استمرارية الأعمال الضوابط الأساسية يجب على المؤسسة المالية إجراء تمارين محاكاة دورية لاختبار خطة استمرارية الأعمال (مرة واحدة في السنة كحد أدنى). يجب أن تراعي الاختبارات ملائمة السيناريوهات وخطط تنفيذها ووضوح أهدافها (على سبيل المثال وفق الوحدات الإدارية، والخدمات، والعمليات، والموقع، وأسوأ الاحتمالات)، كما يجب على المؤسسة المالية مراعات تضمين سيناريوهات الأمن السيبراني. يجب أن تشمل سيناريوهات الاختبار تفعيل وإشراك فريق إدارة الأزمات. بعد الانتهاء من الاختبارات الفردية أعلاه، يجب على كل مؤسسة مالية مراعات إجراء اختبار متكامل لإدارة استمرارية الأعمال لجميع الخدمات الحساسة والعمليات المؤسسية والوحدات الإدارية. 2.9.2 اختبار خطة التعافي من الكوارث الضوابط الأساسية يجب على المؤسسة المالية إجراء اختبار دوري للتعافي من الكوارث بالتزامن مع خطة استمرارية الأعمال (مرة واحدة في السنة كحد أدنى). يجب على المؤسسة المالية تقييم اختبار التعافي من الكوارث للبنى التحتية التقنية لأنظمتها الحساسة، وذلك للتأكد من إمكانية وجاهزية التعافي من الكوارث واستئناف العمليات المؤسسية الحساسة لفترة من الوقت في حال وقوع كارثة كبرى. يجب أن تتيح نتائج اختبار التعافي من الكوارث تقييمها والتحسينات المقترحة لإدارة الأحداث المعطّلة ذات الأثر على استمرارية أعمال المؤسسة المالية. يجب أن يشمل ذلك تفعيل وإشراك فريق إدارة الأزمات. 3.9.2 الاختبارات المنفذة 1. يجب توثيق النتائج التفصيلية لكافة التمارين والاختبارات للرجوع إليها في المستقبل. وأن تتضمن نتائج التمارين/الاختبارات الاعتبارات الآتية دون الحصر: أ. التأكد من تحقيق أهداف التمرين المطبق للخطة. ب. التأكد من قدرة وجاهزية موارد التعافي. ج. توثيق الدروس المستفادة والتحسينات المطلوبة. د. تحديد السبب الجذري للفشل في حال حدوثه، وإجراءات المعالجة الواجب متابعتها حتى الوصول الى نتيجة ناجحة. 2. يجب إعادة اختبار الخطة وفق المدة الزمنية المحددة في حالة فشلها، على أن لا تتجاوز المدة الزمنية ثلاثة (3) أشهر. 3. يجب على المراجع الداخلي في المؤسسة المالية أو المراجع الخارج المؤهل مراقبة أنشطة اختبار استمرارية الأعمال والتعافي من الكوارث عبر المشاركة المستقلة ولغرض التأكيد المعقول بشأن الأنشطة المطبقة ونتائج الاختبارات وما إن كانت تلبي الأهداف الشاملة لبرنامج استمرارية أعمال المؤسسة المالية. 4. يجب إبلاغ لجنة إدارة استمرارية الأعمال والإدارة العليا ومجلس الإدارة بنتائج كافة اختبارات خطة استمرارية الأعمال وخطة التعافي من الكوارث.