High-level principles for business continuity. Principes directeurs en matière de continuité d activité

Transcription

1 THE JOINT FORUM BASEL COMMITTEE ON BANKING SUPERVISION INTERNATIONAL ORGANIZATION OF SECURITIES COMMISSIONS INTERNATIONAL ASSOCIATION OF INSURANCE SUPERVISORS C/O BANK FOR INTERNATIONAL SETTLEMENTS CH-4002 BASEL, SWITZERLAND LE FORUM TRIPARTITE COMITÉ DE BÂLE SUR LE CONTROLE BANCAIRE ORGANISATION INTERNATIONALE DES COMMISSIONS DE VALEURS ASSOCIATION INTERNATIONALE DES SUPERVISEURS EN ASSURANCE C/O BANQUE DES RÉGLEMENTS INTERNATIONAUX CH-4002 BÂLE, SUISSE High-level principles for business continuity Principes directeurs en matière de continuité d activité August 2006 Bilingual and bicoloured version Version bilingue et bicolore Août 2006 Traduction S at G al de la Commission Bancaire 1/75

2 2

3 Table of contents Table des matières Glossary... 5 Glossaire... 5 Background and context Précédents et contexte Effective business continuity management Gestion efficace de la continuité des activités The benefits of high-level principles Intérêt de disposer de principes de haut niveau Target audiences Audiences cibles Financial industry participants Les acteurs de l industrie financière Financial authorities Les autorités financières High-level principles for business continuity Principes directeurs en matière de continuité des activités Principle 1: Board and senior management responsibility Principe 1 : Responsabilités de l Organe délibérant et de la Direction générale Principle 2: Major operational disruptions Principe 2 : Perturbations opérationnelles majeures Principle 3: Recovery objectives Principe 3 : Objectifs de reprise Principle 4: Communications Principe 4 : Communications Principle 5: Cross-border communications Principe 5 : Communications internationales Principle 6 : Testing Principe 6 : Tests Principle 7: Business continuity management reviews by financial authorities Principe 7 : Vérification de la gestion de continuité d activité par les autoritésfinancières40 3/75

4 Annex I- Case Study: US-Canadian electrical power grid outages in August Annexe I- Étude de cas : coupures des réseaux d alimentation en énergie électrique Américains-Canadiens en août Annex II - Case study: The impact of the 2003 SRAS outbreak on Hong Kong SAR s securities markets Annexe II - Étude de cas : l'impact de l'alerte au SRAS 2003 sur le marché des valeurs de Hong-Kong SAR Annex III - Case Study: The impact of the 2003 SRAS outbreak on the Canadian securities industry Annexe III - Étude de cas : l'impact de l'alerte au SRAS 2003 sur l'industrie de valeurs canadienne Annex IV - Case study: Niigata Chuetsu earthquake Annexe IV- Étude de cas : Le tremblement de terre de Niigata Chuetsu Annex V - Case Study: The London terrorist attacks on 7 July Annexe V - Etude de cas : Les attaques terroristes à Londres du 7 juillet Annex VI - Bibliography Annexe VI - Bibliographie Annex VII - Members of the Joint Forum Business Continuity Working Group Annexe VII - Les membres du Groupe de travail Continuité d activité du Forum Tripartite

5 Glossary Glossaire Alternate site Site alternatif A site held in readiness for use during a business continuity event to maintain an organisation s business continuity. The term applies equally to work space or technology requirements. Organisations may have more than one alternate site. In some cases, an alternate site may involve facilities that are used for normal day-to-day operations but which are able to accommodate additional business functions when a primary location becomes inoperable. Examples of alternate sites include relocation and disaster recovery sites, whether managed directly or maintained by a third party for an organisation s exclusive use or for use by multiple organisations. Un site tenu prêt pour utilisation pendant un événement menaçant la continuité d'activité pour maintenir la continuité d'activité d'une organisation. Le terme s'applique également aux besoins d espaces de travail et de technologies. Les organisations peuvent avoir plus d'un site alternatif. Dans quelques cas, un site alternatif peut contenir les équipements qui sont utilisés pour des opérations quotidiennes normales, mais qui sont capables d accueillir des activités supplémentaires lorsque le site primaire devient inopérable. Les exemples de sites alternatifs incluent les relocalisations et les sites de reprise après désastre, qu ils soient gérés directement ou maintenus par un tiers, pour l'utilisation exclusive d'une organisation ou pour l'utilisation de plusieurs organisations. Business continuity Continuité d activité A state of continued, uninterrupted operation of a business. Un état d activité où les opérations sont continues, ininterrompues. Business continuity management Gestion de la continuité d activité A whole-of-business approach that includes policies, standards, and procedures for ensuring that specified operations can be maintained or recovered in a timely fashion in the event of a disruption. Its purpose is to minimise the operational, financial, legal, reputational and other material consequences arising from a disruption. Une approche globale qui comprend la politique, les règles et les procédures pour garantir le maintien ou la reprise des opérations spécifiées d'une façon planifiée en cas de perturbation. Son but est de réduire au minimum les conséquences opérationnelles, financières, légales, de réputation et autres conséquences substantielles résultant d'une perturbation. 5/75

6 Business continuity plan Plan de continuité d activité A component of business continuity management. A business continuity plan is a comprehensive written plan of action that sets out the procedures and systems necessary to continue or restore the operation of an organisation in the event of a disruption. Un composant de la gestion de la continuité d'activité. Un plan de continuité d activité est un plan d'action écrit, complet, qui expose les procédures et les systèmes nécessaires pour poursuivre ou rétablir les opérations d'une organisation en cas de perturbation. Business impact analysis Analyse d impact sur l activité A component of business continuity management. Business impact analysis is the process of identifying and measuring (quantitatively and qualitatively) the business impact or loss of business processes in the event of a disruption. It is used to identify recovery priorities, recovery resource requirements, and essential staff and to help shape a business continuity plan. Une composante de la gestion de la continuité d'activité. L'analyse d'impact sur l activité est le processus qui consiste à identifier et mesurer (quantitativement et qualitativement) l'impact sur l activité ou les pertes dans les processus métiers en cas de perturbation. Elle est utilisée pour identifier les priorités de reprise, les besoins en ressources pour la reprise, le personnel essentiel et pour aider à formuler un plan de continuité d'activité. Communication protocols Protocoles de communication Established procedures for communicating that are agreed in advance between two or more parties internal or external to an organisation. Such procedures typically include the methodology for transmitting, writing, and reading of data (eg s and intranet for employees, teleconferences or meetings with identified internal or external parties, and press releases, website postings, or news conferences for the public or other external stakeholders). Such procedures also typically include the nature of information that should be shared with various internal and external parties and how certain types of information should be treated (eg public or non-public), Procédures de communications établies, qui sont approuvées à l'avance par plusieurs parties internes ou externes à une organisation. De telles procédures incluent habituellement la méthodologie pour la transmission, l'écriture et la lecture de données (ex : courriers électroniques et intranet pour des employés, téléconférences ou réunions avec des parties internes ou externes identifiées, communiqués de presse, mises en ligne sur site Web, conférences de presse pour le public ou d'autres partenaires externes). De telles procédures incluent aussi habituellement la nature des informations qui devront être partagées avec les diverses parties internes et externes et comment certains types d'informations devront être traités (ex : information publique ou non publique). 6

7 Critical market participants Acteurs critiques d un marché Participants in financial markets that perform critical operations or provide critical services. Their inability to perform such operations or provide such services for their own or others benefit could pose a significant risk of major disruption to the continued operation of individual participants or the financial system. Les acteurs des marchés financiers qui exécutent des opérations critiques ou fournissent des services critiques. Leur incapacité d'exécuter de telles opérations ou de fournir de tels services pour leur propre compte ou pour ceux d'autres acteurs pourrait représenter un risque significatif de perturbation majeure sur la continuité des opérations des acteurs individuels ou du système financier. Critical operation or service Opération ou service critique Any activity, function, process, or service, the loss of which would be material to the continued operation of the financial industry participant, financial authority, and/or financial system concerned. Whether a particular operation or service is critical depends on the nature of the relevant organisation or financial system. Data centre operations are an example of critical operations to most financial industry participants. Examples of critical services to financial systems include, but are not limited to, large value payment processing, clearing and settlement of transactions, and supporting systems such as funding and reconciliation services. N'importe quelle activité, fonction, processus ou service, dont la perte aurait des conséquences substantielles pour la continuité des opérations d un acteur de l industrie financière, d une autorité financière, et/ou du système financier concerné. La détermination du caractère «critique» d une opération ou d un service particulier dépend de l organisation ou du système financier concerné. Les opérations de centre de calcul sont un exemple d'opérations critiques pour la plupart des acteurs de l industrie financière. Les exemples de services critiques pour les systèmes financiers incluent, mais sans y être limités, le traitement des paiements de gros montant, la compensation et le règlement des transactions et le support aux systèmes comme les services de réconciliation et de financement. Emergency response organisation Service de secours d urgence An organisation responsible for responding to hazards to the general population (eg fire department, police services). Un service en charge de répondre aux dangers susceptibles de toucher la population en général (ex : les pompiers, la police). 7/75

8 Financial authorities Autorités financières A financial sector regulatory or supervisory organisation having some level of responsibility for safeguarding, and maintaining public confidence in, the financial system. Examples include prudential supervisors of securities firms, insurance companies, and banks and other deposit-taking institutions, as well as financial services consumer protection agencies and authorities with responsibility for stock and commodities exchanges. Non-supervisory central banks are included in their capacity as overseers of payment and settlement systems. Les organismes de régulation ou de supervision d un secteur financier ayant un certain niveau de responsabilité dans la sauvegarde et le maintien de la confiance publique dans le système financier. Les exemples incluent les superviseurs prudentiels des sociétés de valeurs, des sociétés d'assurance et des banques et d'autres institutions gérant des dépôts, ainsi que les agences de défense des consommateurs de services financiers et les autorités qui ont une responsabilité en matière d'échanges de matières premières et de valeurs. Les banques centrales qui ne sont pas en charge de la supervision bancaire sont incluses de par leur responsabilité en matière de surveillance des systèmes de paiement et de règlement. Financial industry participants Acteurs de l industrie financière Financial institutions and other organisations that participate in the banking, securities and/or insurance sectors and that are subject to some level of regulation or supervision by one or more financial authorities. Examples include banks, securities firms, insurance companies, stock exchanges, operators of payment and settlement systems (including central banks that provide such services), messaging service providers (such as SWIFT), and self-regulatory organisations. Les établissements financiers et autres organisations qui participent aux opérations de banque, aux secteurs des valeurs et/ou des assurances et qui, de ce fait, sont soumises à un certain niveau de règlementation ou de surveillance par une ou plusieurs autorités financières. Les exemples incluent les banques, les sociétés de valeurs, les sociétés d'assurance, les Bourses, les opérateurs des systèmes de paiement et de règlement (y compris les banques centrales qui fournissent de tels services), les fournisseurs de messagerie (comme SWIFT) et les organisations autorégulées. 8

9 International standard setting organisations Organisations internationales en charge de définir des standards Organisations whose responsibilities include defining prudential and other standards applicable to a specific group of financial industry participants operating in a particular financial services sector and in a geographic region encompassing more than one country. Examples include the Basel Committee on Banking Supervision ( the International Organisation of Securities Commissions ( the International Association of Insurance Supervisors ( the standard setters for the banking, securities and insurance sectors respectively, and the Committee on Payment and Settlement Systems ( a forum for coordinating the oversight functions of central banks with respect to payment systems. Organisations dont les responsabilités incluent la définition de recommandations prudentielles et autres standards applicables à un groupe spécifique d acteurs de l industrie financière opérant dans un secteur de services financiers particulier et dans une région géographique englobant plus d'un pays. Les exemples incluent le Comité de Bâle sur le Contrôle Bancaire ( l'organisation Internationale des Commissions de Valeurs ( l'association Internationale de Superviseurs d'assurance ( en charge respectivement des règles pour les secteurs bancaire, des valeurs et des d'assurances et le Comité des Systèmes de Paiement et de Règlement ( un forum pour coordonner les fonctions de surveillance des banques centrales pour ce qui concerne ces systèmes. 9/75

10 Major operational disruption A high-impact disruption of normal business operations affecting a large metropolitan or geographic area and the adjacent communities that are economically integrated with it. In addition to impeding the normal operation of financial industry participants and other commercial organisations, major operational disruptions typically affect the physical infrastructure. Major operational disruptions can result from a wide range of events, such as earthquakes, hurricanes and other weather-related events, terrorist attacks, and other intentional or accidental acts that cause widespread damage to the physical infrastructure. Other events, such as technology viruses, pandemics and other biological incidents may not cause widespread damage to the physical infrastructure but can nonetheless lead to major operational disruptions by affecting the normal operation of the physical infrastructure in other ways. Events whose impact is most significant are referred to as extreme events. They involve one or more of the following: the destruction of, or severe damage to, physical infrastructure and facilities, the loss or inaccessibility of personnel, and, restricted access to the affected area. Perturbation opérationnelle majeure Une perturbation à fort impact sur les opérations normales des activités, affectant une grande zone urbaine ou géographique et les communautés voisines qui lui sont économiquement intégrées. Outre la menace sur les opérations normales des acteurs de l industrie financières et d'autres organisations commerciales, les perturbations opérationnelles majeures affectent typiquement les infrastructures physiques. Les perturbations opérationnelles majeures peuvent résulter d'un grand éventail d'événements, comme des tremblements de terre, des ouragans et d'autres événements concernant le climat, des attaques terroristes et d'autres actes intentionnels ou accidentels qui causent des dégâts s étendant aux infrastructures physiques. D autres événements, comme les virus technologiques, les pandémies ou autres accidents biologiques peuvent ne pas causer de dégâts importants aux infrastructures physiques mais peuvent néanmoins conduire à des perturbations opérationnelles majeures en affectant le fonctionnement normal des infrastructures physiques d une autre manière. Les événements dont les impact sont les plus significatifs sont dénommés «événements extrêmes» (ou «chocs extrêmes» dans le CRBF 2004/02). Ils englobent une ou plusieurs des conséquences suivantes : la destruction de l'infrastructure physique et des équipements ou des dégâts sévères, la perte ou l'indisponibilité de personnel et la restriction d accès à la zone affectée. Operational risk Risque opérationel The risk of loss resulting from inadequate or failed internal processes, people and systems or from external events. Le risque de perte résultant de l inadéquation ou de la défaillance des processus internes, des personnes et des systèmes, ou d'événements externes. 10

11 Payment and settlement system Système de paiement et réglement A system consisting of a group of member firms and a set of instruments and procedures for the transmission and settlement of payments or financial instruments between members. Un système constitué d'un groupe de sociétés adhérentes et d un ensemble d'instruments et de procédures pour la transmission et le règlement de paiements ou d instruments financiers entre membres. Payment and settlement system operator Opérateur d un système de paiement et de règlement An organisation that provides the processing services for transactions sent by participants in the payment and settlement system. The services provided could include the generation or processing of operational data, effecting of controls and security measures, and the clearing and settlement of payments or other obligations. Une organisation qui fournit les services de traitement pour des transactions envoyées par des participants au système de paiement et de règlement. Les services fournis peuvent inclure la génération ou le traitement de données opérationnelles, l'accomplissement de contrôles et de mesures de sécurité, la compensation et le règlement des paiements ou d'autres obligations. Physical infrastructure Infrastructure physique Those assets, facilities and services provided by non-financial industry participants and widely depended on by business, governments and individuals for day-to-day activities. Examples include water, public health, emergency services, telecommunication and information services, energy, and transportation. Les actifs, équipements et services fournis par des non-acteurs de l industrie financière et dont dépendent largement pour leurs activités quotidiennes les gouvernements et les personnes. Les exemples incluent l'eau, la santé publique, les services de secours, les télécommunications et les services d'information, l énergie et les transports. Recovery Reprise The rebuilding of specific business operations following a disruption to a level sufficient to meet outstanding business obligations. La reconstruction d'opérations spécifiques après une défaillance, à un niveau suffisant pour satisfaire les obligations professionnelles essentielles. Recovery level Niveau de reprise An element of a recovery objective. Recovery level is the target level of service that will be provided in respect of a specific business operation after a disruption. Un élément d un objectif de reprise. Le niveau de reprise est le niveau de service cible, relatif à une opération professionnelle spécifique, qui sera fourni après une interruption. 11/75

12 Recovery objective Objectif de reprise A pre-defined goal for recovering specified business operations and supporting systems to a specified level of service (recovery level) within a defined period following a disruption (recovery time). Un but prédéterminé de récupération des opérations professionnelles spécifiques et de maintien des systèmes à un niveau de service fixé (le niveau de reprise) dans une durée définie après une interruption (le délai de reprise). Recovery time Délai de reprise An element of a recovery objective. Recovery time is the target duration of time to recover a specific business operation. A recovery time has two components: the duration of time from the disruption to the activation of a business continuity plan; and, the duration of time from the activation of the business continuity plan to the recovery of the specific business operation. Un élément d un objectif de reprise. Le délai de reprise est la durée cible nécessaire à la reprise d une opération professionnelle spécifique. Le délai de reprise a deux composantes : la durée de l interruption jusqu à l'activation d'un plan de continuité d activité et la durée depuis l'activation du plan de continuité d activité jusqu à la reprise de l'opération professionnelle spécifique. Resilience Résilience The ability of a financial industry participant, financial authority or financial system to absorb the impact of a major operational disruption and continue to maintain critical operations or services. La capacité d'un acteur de l industrie financière, d une autorité financière ou d un système financier à absorber l'impact d'une perturbation opérationnelle majeure et à poursuivre les opérations ou les services critiques. 12

13 High-level principles for business continuity Principes directeurs en matière de continuité d activité Background and context Historique et contexte 1. Business continuity is an ongoing priority for financial industry participants and financial authorities. 1 Recent acts of terrorism in New York, London, Istanbul, Madrid and elsewhere, outbreaks of Severe Acute Respiratory Syndrome (SARS) and the Avian Flu, and various widespread natural disasters have served to heighten that priority by underlining the substantial risk of major operational disruptions to the financial system. 1. La continuité d'activité est une priorité permanente pour les acteurs de l industrie financière et les autorités financières 1. Les actes récents de terrorisme à New York, Londres, Istanbul, Madrid et ailleurs, les alertes au syndrome respiratoire aigu sévère (SRAS), à la grippe aviaire et diverses catastrophes naturelles d envergure ont conduit à intensifier cette priorité en soulignant un risque substantiel de perturbations opérationnelles majeures pour le système financier. 2. Financial authorities and financial industry participants have a shared interest in promoting the resilience of the financial system to major operational disruptions. This interest is the result of multiple factors, including: 2. Les autorités financières et les acteurs de l industrie financière ont un intérêt commun dans la promotion de la résilience du système financier face aux perturbations opérationnelles majeures. Cet intérêt est le résultat de facteurs multiples, dont : The pivotal role that financial intermediation plays in facilitating and promoting national and global economic activity by providing the means for making and receiving payments, for borrowing and lending, for effecting transactions, for insuring risks, and for raising capital and promoting investment; Le rôle central que l'intermédiation financière joue pour faciliter et promouvoir l'activité économique nationale et mondiale en fournissant les moyens pour effectuer et recevoir des paiements, pour emprunter et prêter, pour réaliser des transactions, pour assurer des risques et pour lever des capitaux et promouvoir l'investissement ; The concentration of clearing and settlement processes in most financial systems. Disruptions of these processes can have material adverse consequences for a financial system and prevent significant market participants from completing transactions and meeting their obligations; La concentration des processus de compensation et de règlement dans la plupart des systèmes financiers. Les ruptures dans ces processus peuvent avoir des conséquences fâcheuses et importantes pour le système financier et empêcher des 1 Business continuity, financial industry participants, financial authorities and other key terms are defined for purposes of this paper in the Glossary. For ease of identification, all terms defined in the Glossary are italicised when they are used in the paper. Continuité d activité, acteurs de l industrie financière, autorités financières et autres expressions clés sont définies pour les besoins de ce document dans le glossaire. Pour les repérer facilement, tous les termes définis dans le glossaire sont écrits en italique lorsqu ils sont utilisés dans le document. 13/75

14 acteurs significatifs du marché d'achever des transactions et de satisfaire à leurs obligations ; Deepening interdependencies among financial industry participants within and across jurisdictions. The velocity with which money and securities turn over on a daily basis underpins the considerable interdependencies in the form of settlement risk and, ultimately, credit and liquidity risks among financial industry participants and investors. The result is that operational disruptions at one financial industry participant can cause difficulties at others. Furthermore, given the increasing globalisation of markets, disruptions in one jurisdiction could have serious implications for others through contagion effects; Les interdépendances qui s amplifient entre les acteurs de l industrie financière au sein et entre les pays. La rapidité avec laquelle l'argent et les valeurs circulent tous les jours entraîne des interdépendances considérables sous la forme de risque de règlement et, en fin de compte, de crédit et de liquidité - entre les acteurs de l industrie financière et les investisseurs. Le résultat est qu une défaillance opérationnelle d un acteur de l industrie financière peut causer des difficultés à d autres. En outre, étant donné la globalisation croissante des marchés, des ruptures dans un territoire pourraient avoir des implications sérieuses pour d'autres par des effets de contagion ; The possibility of terrorist or other malicious attacks targeted, directly or indirectly, at the infrastructure of the financial system; La possibilité d attaques terroristes ou d'autres attaques malveillantes ciblées, directement ou indirectement, sur l'infrastructure du système financier ; The importance of public confidence in the ability of financial systems to function smoothly. Repeated or prolonged interruptions to the operation of a financial system undermine confidence and could result in a withdrawal of capital from that system by domestic and global participants. L importance de la confiance publique dans la capacité des systèmes financiers à fonctionner sans à-coup. Des interruptions répétées ou prolongées sur l exploitation d'un système financier altèrent la confiance et pourraient aboutir à un retrait de capitaux de ce système par des utilisateurs nationaux ou internationaux. 3. At the same time, however, other factors such as the increasing complexity and operational risk in all areas of the financial system add to the challenge of promoting its resilience. For example, the financial system is keenly dependent on automation and, in turn, on those components of the physical infrastructure that support automation, such as telecommunications and power. While the organisations that provide the facilities and services comprising the physical infrastructure are actively engaged in efforts of their own to improve their resilience to major operational disruptions, financial authorities and financial industry participants have no direct control over their decisions when major operational disruptions occur. 3. Simultanément, toutefois, d autres facteurs comme la croissance de la complexité et du risque opérationnel dans tous les domaines du système financier s ajoutent au défi de promouvoir la résilience de celui-ci. Par exemple, le système financier est profondément dépendant de l'automatisation et, de ce fait, des composants de l'infrastructure physique qui soutiennent l automatisation, comme les télécommunications et les énergies. Tandis que les organisations qui procurent les équipements et les services, y compris les infrastructures 14

15 physiques, sont activement engagées dans leurs propres efforts pour améliorer leur résilience aux perturbations opérationnelles majeures, les autorités financières et les acteurs de l industrie financière n ont pas de contrôle direct sur leurs décisions lorsque les perturbations opérationnelles majeures surviennent. 4. Financial authorities in some of the key financial centres have been working closely with financial industry participants to establish a consensus as to what constitutes acceptable standards for business continuity. This effort has been supported by recent private sector initiatives. For example, a number of groups have been established for the purpose of coordinating financial industry participants work in the area of business continuity management. 2,3 In addition, some financial sector trade associations have taken a leading role in promoting sound business continuity management among their memberships through, for example, the publication of guidance on sound practices. 4 Much of this work to date has been focussed at the national level. As a result, while the work has shared the same broad objective (ie enhancing the resilience of the financial system), it has generated a variety of outcomes, including the development of requirements and guidance by financial authorities in some jurisdictions. 4. Dans certains centres financiers clefs, les autorités financières ont travaillé étroitement avec des acteurs de l industrie financière pour établir un consensus sur ce qui constitue des standards acceptables pour la continuité d'activité. Cet effort a été soutenu par des initiatives récentes du secteur privé. Par exemple, un certain nombre de groupes ont été constitués dans le but de coordonner le travail des acteurs de l industrie financière dans le domaine de gestion de la continuité d'activité 2,3. De plus, quelques associations professionnelles du secteur financier ont joué un rôle moteur dans la promotion d une saine gestion de continuité d'activité parmi leurs adhérents avec, par exemple, la publication de guides de saines pratiques 4. Beaucoup de ces travaux ont été jusqu'à présent réalisés au niveau national. En conséquence, bien que partageant le même objectif général (c'est-à-dire l'amélioration de la résilience du système financier), ces travaux ont donné des résultats variés, dont le développement d'exigences et de conseils par des autorités financières dans quelques juridictions. 5. Consistent with their focus on preserving the functionality of a financial system as a whole, financial authorities undertaking these initiatives have tended to give priority to critical market participants. The lessons learned from past experience, however, are applicable to a broader audience Conceptually, business continuity management is distinct from financial crisis management in that a financial crisis does not typically entail business continuity concerns. An event that gives rise to business continuity concerns, however, could develop into a financial crisis. Conceptuellement, la gestion de continuité d'activité est distincte de la gestion de crise financière car une crise financière n'entraîne pas systématiquement un problème de continuité d'activité. Cependant, un événement qui provoque des problèmes de continuité d'activité pourrait donner lieu à une crise financière. Examples of private sector groups include the Securities Industry Business Continuity Management Group, an informal industry forum of the Securities Industry Association ( and ChicagoFIRST, a non-profit association dedicated to addressing emergency management issues affecting financial institutions and requiring a coordinated response ( in the United States. Exemples de groupes privés sectoriels : le «Securities Industry Business Continuity Management Group», un forum informel de l industrie des placements de la Securities Industry Association ( et «ChicagoFIRST», une association à but non lucratif dédiée à la détermination de réponses aux questions de gestion des urgences affectant les institutions financières et réclamant des actions coordonnées ( aux Etats-Unis. One example is A Guide to Business Continuity Management published in January 2003 by the British Bankers Association ( Un exemple : A Guide to Business Continuity Management publié en janvier 2003 par l association des banquiers britanniques ( 15/75

16 5. En cohérence avec leur objectif de préserver le fonctionnement du système financier dans son ensemble, les autorités financières qui ont entrepris ces initiatives ont eu tendance à donner la priorité aux acteurs critiques des marchés. Toutefois, les leçons tirées de ces l'expériences passées sont applicables à une audience plus large. 6. At the international level, while there have been several regulatory initiatives on the business continuity front, they have been concentrated mainly on coordinating cross-border communications in a crisis. For example, EU members signed an updated Memorandum of Understanding in May 2005 on information exchange during a financial crisis; all of the signatories are EU regulators, central banks and finance ministries. Examples of international business continuity initiatives with a broader focus include meetings of the Committee on Payment and Settlement Systems where central bank participants share their experiences in reviewing and enhancing business continuity plans. The Joint Task Force on Crisis Management, created by the Committee of European Banking Supervisors and the Banking Supervision Committee of the European Central Bank to formulate guidance and identify best practices for crisis management, is an example of similar initiatives at a regional level. To date, however, there has not been a concerted effort to draw together the lessons learned from major events and translate them into a set of business continuity principles that is relevant across national boundaries and financial sectors (ie banking, securities, and insurance). 6. Au niveau international, bien qu'il y ait eu plusieurs initiatives réglementaires sur le front de la continuité d'activité, elles ont été concentrées principalement sur la coordination des communications internationales en période de crise. Par exemple, les membres de l'ue ont signé un accord de coopération (Memorandum of Understanding) en mai 2005 sur l'échange d'informations pendant une crise financière ; tous les signataires sont des régulateurs de l'ue, des banques centrales et des ministères des finances. Les exemples d'initiatives internationales sur la continuité d'activité avec un champ plus large sont les réunions du Comité des Systèmes de Paiement et de Règlement où les participants des banques centrales partagent leurs expériences en matière d'amélioration des plans de continuité d'activité. L'équipe commune de travail sur la gestion de crise, créée par le Comité Européen des Superviseurs Bancaires et le Comité de Supervision Bancaire de la Banque Centrale Européenne pour formuler des conseils et déterminer les meilleures pratiques pour la gestion de crise, est un exemple d'initiative comparable à un niveau régional. Toutefois, jusqu'à présent il n y a pas eu d effort concerté pour tirer les leçons d'événements majeurs et pour traduire celles-ci dans un ensemble de principes pour la continuité d'activité qui serait applicable au-delà des frontières nationales et aux différents secteurs financiers (c'est-à-dire banque, valeurs et assurance). 7. In the summer of 2004, the Financial Stability Forum and the Bank of England cohosted a symposium on business continuity issues. Based on the findings of the symposium, the Financial Stability Forum asked the sectoral standard setting bodies (the Basel Committee on Banking Supervision (BCBS), the International Organisation of Securities Commissions (IOSCO) and the International Association of Insurance Supervisors (IAIS)) or the Joint Forum to review approaches to business continuity across countries and financial sectors and consider whether it might be appropriate to develop high-level principles that could apply across the financial system globally. 7. Durant l été 2004, le Forum de Stabilité Financière et la Banque d'angleterre ont coaccueilli un symposium sur les questions de continuité d'activité. Se fondant sur les conclusions du symposium, le Forum de Stabilité Financière a demandé aux organisations sectorielles en charge de définir des standards (le Comité de Bâle sur le Contrôle Bancaire (BCBS), l'organisation Internationale de Commissions de Valeurs (IOSCO) et l'association Internationale de Superviseurs d'assurance (IAIS)), ou au Forum Tripartite, de passer en revue les approches de la continuité d'activité à travers les pays et les secteurs financiers et 16

17 de se demander s'il pouvait être approprié de développer des principes directeurs applicables à travers le système financier dans son ensemble. 8. The Joint Forum s parent organisations (BCBS, IOSCO and IAIS) confirmed in November 2004 that the Joint Forum should undertake such a review. Following an initial scoping exercise, the Joint Forum concluded in February 2005 that high-level principles on business continuity would contribute beneficially to the resilience of the global financial system. A formal working group of the Joint Forum (see Annex VII for a list of working group members) developed a set of high-level principles that were published in a consultative paper in December This paper is a revised version of the December 2005 consultation draft. 8. Les organisations parentes du Forum Tripartite (BCBS, IOSCO et IAIS) ont confirmé en novembre 2004 que celui-ci devait entreprendre un tel examen. Après un exercice de revue initial, le Forum Tripartite a conclu en février 2005 que des principes directeurs en matière de continuité d'activité contribueraient avantageusement à la résilience du système financier global. Un groupe de travail formel du Forum Tripartite (voir l'annexe VII pour la liste les membres du groupe de travail) a déterminé un ensemble de principes directeurs qui ont été publiés dans un document de consultation de décembre Le présent texte est une version mise à jour du projet mis en consultation en décembre Effective business continuity management Gestion efficace de la continuité des activités 9. Business continuity management, a significant component of operational risk management, is a whole-of-business approach that includes policies, standards, and procedures for ensuring that specified operations can be maintained or recovered in a timely fashion in the event of a disruption. Its purpose is to minimise the operational, financial, legal, reputational and other material consequences arising from a disruption. Effective business continuity management concentrates on the impact, as opposed to the source, of the disruption, which affords financial industry participants and financial authorities greater flexibility to address a broad range of disruptions. At the same time, however, organisations cannot ignore the nature of the risks to which they are exposed. For example, organisations located in earthquake-prone regions commonly plan for the impact of earthquake-related major operational disruptions. 9. La gestion de la continuité d'activité, une composante importante de la gestion des risques opérationnels, est une approche globale qui inclut la politique, les règles et les procédures pour s assurer que des opérations précises peuvent être poursuivies ou récupérées dans un laps de temps raisonnable dans le cas d'une perturbation. Son but est de réduire au minimum les conséquences opérationnelles, financières, légales, de réputation et autres conséquences substantielles résultant d'une perturbation. La gestion efficace de la continuité d'activité se concentre sur l'impact de la perturbation, par opposition à sa source, ce qui donne aux acteurs de l industrie financière et aux autorités financières une flexibilité plus grande pour répondre à une large gamme de perturbations. Toutefois, en même temps, les organisations ne peuvent pas ignorer la nature des risques auxquels elles sont exposées. Par exemple, les organisations situées dans des régions sujettes aux tremblements de terre se préparent généralement aux effets de perturbations opérationnelles majeures liées aux tremblements de terre. 17/75

18 10. Effective business continuity management typically incorporates business impact analyses, recovery strategies and business continuity plans as well as testing programmes, training and awareness programmes, and communication and crisis management programmes. 10. La gestion efficace de la continuité d'activité incorpore habituellement des analyses d'impact sur l activité, des stratégies de reprise et des plans de continuité d'activité ainsi que des programmes de tests, des programmes de sensibilisation et de formation et des programmes de gestion et de communication de crise. A business impact analysis is the starting point it is a dynamic process for identifying critical operations and services, key internal and external dependencies and appropriate resilience levels. It assesses the risks and potential impact of various disruption scenarios on an organisation s operations and reputation. L analyse d'impact sur l activité est le point de départ - c'est un processus dynamique pour identifier les opérations et services critiques, les dépendances clefs, internes et externes, et les niveaux de résilience appropriés. Il évalue les risques et les impacts potentiels de divers scénarios de perturbation sur les opérations d'une organisation et sur sa réputation. A recovery strategy sets out recovery objectives and priorities that are based on the business impact analysis. Among other things, it establishes targets for the level of service the organisation would seek to deliver in the event of a disruption and the framework for ultimately resuming business operations. 5 Une stratégie de reprise présente des objectifs de reprise et des priorités qui sont basés sur l'analyse d'impact sur l activité. Entre autres choses, elle établit des cibles pour le niveau de service que l'organisation chercherait à atteindre en cas de perturbation et en fin de compte un cadre pour reprendre les opérations 5. Business continuity plans provide detailed guidance for implementing the recovery strategy. They establish the roles and allocate responsibilities for managing operational disruptions and provide clear guidance regarding the succession of authority in the event of a disruption that disables key personnel. They also clearly set out the decision-making authority and define the triggers for invoking the organisation s business continuity plan. The personal safety of staff should be the paramount consideration of an organisation s business continuity plan. Les plans de continuité d activité fournissent des conseils détaillés pour mettre en oeuvre la stratégie de reprise. Ils établissent les rôles et distribuent des responsabilités pour gérer des perturbations opérationnelles. Ils fournissent un guide clair quant aux délégations d'autorités en cas de perturbation rendant indisponible le personnel clef. Ils exposent aussi clairement la chaîne du processus décisionnel et définissent les déclencheurs du plan de continuité d'activité de l'organisation. La sécurité personnelle des employés devrait être la considération primordiale du plan de continuité d'activité d'une organisation. 5 The ultimate objective of a business continuity plan is the full restoration of an organisation s operations to the point where the organisation is able to resume normal business operations. Most plans sequence the recovery of operations according to their business impact, focussing first on an organisation s critical operations. L'objectif ultime d'un plan de continuité d'activité est la pleine restauration des opérations d'une organisation jusqu au point où l'organisation est capable de reprendre ses opérations normales. La plupart des plans ordonnent la reprise des opérations selon leur impact, se concentrant d'abord sur les opérations critiques. 18

19 The benefits of high-level principles Intérêt de disposer de principes directeurs 11. The high-level principles set out in this paper are intended to support international standard setting organisations and national financial authorities in their efforts to improve the resilience of financial systems to major operational disruptions. They are not sufficiently detailed to substitute for sectoral or national arrangements and are not intended for this purpose. Rather, they provide a broad framework for international standard setting organisations and national financial authorities to use in developing business continuity arrangements that are more detailed and more closely tailored to their unique sectoral and local circumstances. They also provide a consistent context for those arrangements and, in so doing, promote a common base level of resilience across national boundaries. Moreover, given the global nature of the financial industry and the role of financial authorities as the focal point for cross-border information exchange and action in the event of a major operational disruption, the principles encourage enhancements to the cross-border communication channels that would be used during such disruptions. 11. Les principes directeurs exposés dans ce document sont destinés à soutenir les organisations internationales en charge de définir des règles et les autorités financières nationales dans leurs efforts pour améliorer la résilience des systèmes financiers face aux perturbations opérationnelles majeures. Ils ne sont pas suffisamment détaillés pour remplacer les dispositions sectorielles ou nationales et ne sont pas destinés à cette fin. Ils fournissent plutôt un cadre de travail général pour des organisations internationales en charge de définir des règles et les autorités financières nationales, à utiliser dans le développement de dispositions pour la continuité d'activité qui sont plus détaillées et mieux conçues pour les circonstances sectorielles et locales particulières. Ils fournissent aussi un contexte cohérent pour ces dispositions et, ainsi, promeuvent une base commune de résilience au niveau international. De plus, étant donné la nature mondiale de l'industrie financière et le rôle des autorités financières comme point central pour l'échange international d'information et pour l'action en cas de perturbation opérationnelle majeure, ces principes encouragent le renforcement des canaux de communication transfrontières qui seraient utilisés pendant de telles perturbations. 12. The high-level principles set out in this paper are therefore not intended to be prescriptive, nor are they directed exclusively at those financial industry participants considered to be critical market participants. Rather, they constitute a broad framework of sound practice relevant to all financial industry participants and financial authorities in all jurisdictions. Broad applicability of the high-level principles, however, does not mean a onesize-fits-all approach to business continuity. An organisation s business continuity management should be proportionate to its business risk (arising from both internal and external sources) and tailored to the scale and scope of its operations. 12. Les principes directeurs exposés dans ce document ne sont pas donc destinés à être prescriptifs. Ils ne sont pas non plus destinés exclusivement aux acteurs de l industrie financière qui sont considérés comme des acteurs critiques d un marché. Ils constituent plutôt un cadre de travail général pour établir de saines pratiques adaptées à tous les acteurs de l industrie financière et autorités financières dans toutes les juridictions. Toutefois, le fort degré d application de ces principes directeurs ne correspond pas à une approche de la continuité d'activité sur un modèle unique pour tous. La gestion de la continuité d'activité d'une organisation doit être proportionnée à son risque professionnel (résultant de sources tant internes qu'externes) et façonnée selon l'ampleur et la portée de ses opérations. 13. Operational disruptions of varying kinds and impact are commonplace organisations routinely accommodate such risks as computer malfunctions, power failures 19/75

20 and transportation disruptions in their business continuity plans. From a corporate perspective, resilience to operational disruptions has a clear commercial rationale customers of organisations whose systems are prone to regular failure as a result of relatively common events will inevitably choose to do business with more resilient competitors. In a competitive environment, an organisation typically will weigh its direct benefit from measures to improve its resilience to operational disruptions against the cost of those measures. 13. Les perturbations opérationnelles de types et impacts différents sont banales généralement les organisations ont adapté leur plan de continuité d activité à de tels risques, comme les défaillances informatiques, les pannes d approvisionnement en énergie et les interruptions des transports. Du point de vue de l'entreprise, la résilience aux perturbations opérationnelles a une justification commerciale claire - les clients d'organisations dont les systèmes sont susceptibles de défaillir régulièrement, suite à des événements relativement communs, voudront inévitablement traiter avec des concurrents plus robustes. Dans un environnement compétitif, une organisation comparera l avantage direct de mesures prises pour améliorer sa résilience aux perturbations opérationnelles avec le coût de ces mesures. 14. Similar cost-benefit considerations apply to measures for improving a financial system s resilience to operational disruptions. The benefits of improved systemic resilience accrue to all participants in that system (albeit to a varying extent), but in most cases such improvements are the result of investments in business continuity by individual financial industry participants. Because financial industry participants typically consider only their direct benefits and costs whereas financial authorities are expected to consider the broader public interest dimension, a natural tension exists between the levels of resilience that financial industry participants might consider reasonable for their own business purposes and the objectives of financial authorities for the resilience of the financial system as a whole. Recognising the shared interest in improving the resilience of the financial system, the highlevel business continuity principles set out in this paper represent an attempt to delineate a measured approach to business continuity that is sufficient in terms of its impact on the overall resilience of a financial system and, at the same time, proportionate to the risks posed by particular financial industry participants. Without diminishing the authority of financial authorities to ultimately determine the appropriate level of systemic resilience, an ongoing dialogue between all affected parties, reinforced through appropriate joint exercises and testing, should produce a reasonable and responsible outcome. 14. Des considérations semblables de coût/bénéfice s'appliquent aux mesures d amélioration de la résilience d'un système financier face aux perturbations opérationnelles. Une résilience systémique accrue bénéficie à tous les participants à ce système (bien qu'à des degrés variables), mais dans la plupart des cas de telles améliorations sont le résultat d'investissements dans la continuité d'activité réalisés individuellement par les acteurs de l industrie financière. Parce que les acteurs de l industrie financière considèrent en général uniquement leurs bénéfices et coûts directs alors que l'on s'attend à ce que des autorités financières considèrent la dimension plus large de l'intérêt public, un écart naturel existe entre les niveaux de résilience que les acteurs de l industrie financière pourraient considérer comme raisonnables pour leurs buts propres et les objectifs des autorités financières pour la résilience du système financier dans son l'ensemble. En reconnaissant un intérêt commun dans l'amélioration de la résilience du système financier, les principes directeurs de continuité d'activité exposés dans ce document représentent une tentative de tracer une approche mesurée de la continuité d'activité qui est suffisante en termes d impact sur la résilience complète du système financier et, en même temps, proportionnée aux risques présentés par des membres particuliers de l'industrie financière. Sans diminuer le pouvoir des autorités financières pour en fin de compte déterminer le niveau approprié de résilience systémique, un dialogue continu entre toutes les parties prenantes, renforcé par des 20