Política de Continuidad

Introducción

La Sociedad de Gestión de los Sistemas de Registro Compensación y Liquidación de Valores, S.A.U, (referida, en lo sucesivo como “IBERCLEAR”), como sociedad del Grupo Bolsas y Mercados Españoles (en adelante BME), participa del sistema de gestión de la Continuidad de Negocio del Grupo BME.  Además, en cumplimiento del Reglamento 909/2014 del Parlamento Europeo, de 23 de julio de 2014 (CSDR) y de su normativa de desarrollo IBERCLEAR, en el marco del sistema de gestión de continuidad del Grupo BME, ha establecido, aplica y mantiene una estrategia adecuada de continuidad de su actividad y de recuperación en caso de catástrofe destinada a garantizar la preservación de sus funciones, la oportuna recuperación de las operaciones y el cumplimiento de sus obligaciones.

En este sentido, IBERCLEAR, en línea con la Política de Continuidad de Negocio del Grupo BME y en cumplimiento del citado reglamento CSDR, incorpora a su Política de Continuidad de Negocio todos los elementos de la Política de Continuidad de Negocio del Grupo BME así como las especificaciones propias de su ámbito de gestión.

Política de Continuidad del Grupo BME

Objetivo

El objetivo global de la Continuidad de Negocio de BME es realizar los preparativos necesarios y planificar un conjunto suficiente de procedimientos para responder de forma adecuada ante la aparición de un incidente perturbador, desde el momento en que se declare hasta la completa recuperación de la normalidad en las distintas actividades de negocio, minimizando el impacto originado en las operaciones.

Principios de Continuidad de Negocio.

La Política de Continuidad de Negocio se apoya en un conjunto de principios que han sido formulados teniendo en cuenta las necesidades del negocio de las sociedades del Grupo BME y con un alto grado de conocimiento de los riesgos asociados a los mismos. Dichos principios son:

1. El objetivo prioritario es la protección y seguridad del personal, tanto en una situación operativa normal como en una situación de contingencia.

2. La Dirección de BME se responsabilizará de la gestión de los riesgos clave para la continuidad de los procesos considerados críticos por la Organización.

3. Tratar de minimizar el impacto que se pudiera derivar de cualquier situación de emergencia sobre los servicios identificados como críticos o el nivel de prestación de los mismos.

4. Conseguir retornar al estado de normalidad en la localización afectada lo antes posible una vez mitigadas las consecuencias del incidente perturbador.

5. BME garantizará que el Plan de Continuidad de Negocio del Grupo BME, así como los correspondientes Planes Técnicos de Recuperación ante Catástrofes, se desarrollan e implementan de forma adecuada, teniendo en cuenta los servicios y procesos críticos y tomando como referencia la evaluación de los riesgos, su probabilidad e impacto.

6. BME mantendrá actualizados en todo momento su Plan de Continuidad de Negocio y los Planes Técnicos de Recuperación ante Catástrofes, para ello realizará revisiones periódicas y cada vez que se produzca un cambio significativo que pueda afectar a los mismos.

7. BME se compromete a probar de forma periódica su Sistema de Gestión de Continuidad de Negocio para asegurar la adecuación del mismo a las necesidades del grupo BME y adaptarlo siempre que sea necesario a la vista de los resultados de dichas pruebas.

8. BME garantizará que todo el personal involucrado tanto en el Plan de Continuidad como en los Planes Técnicos de Recuperación ante Catástrofes esté informado de las responsabilidades que le competen en el marco de la Continuidad de Negocio, mediante labores de formación, divulgación y prueba.

9. BME asegurará que los procesos/servicios críticos son recuperados dentro de los márgenes de tiempo estipulados en el Plan de Continuidad de Negocio.

10. BME garantizará la elaboración de los correspondientes Procedimientos de Continuidad, entre los que se encuentran los planes de comunicación internos y externos, y de mantener actualizados los mismos mediante revisiones periódicas.

11. BME realizará periódicamente revisiones del correcto funcionamiento del Sistema de Gestión de Continuidad de Negocio así como de su sistema de prueba y el alineamiento de los mismos con esta Política de Continuidad de Negocio.

Política de Continuidad de IBERCLEAR

En cumplimiento de lo establecido en el Reglamento CSDR y en desarrollo de la Política de Continuidad de Negocio de BME, IBERCLEAR ha asumido como propia la Política de Continuidad de Negocio del Grupo BME así como todos los Principios de Continuidad que la misma establece, con las siguientes especialidades derivadas de la actividad supervisada que desarrolla.

Responsabilidades

Con el fin de articular los Principios de Continuidad de Negocio el Grupo BME ha creado una estructura en varios niveles y ha establecido las responsabilidades asignadas a cada uno de ellos.

Consejo de Administración

El Consejo de Administración, es el organismo de más alto nivel y máximo responsable de velar por la  eficacia y adecuación de la Continuidad de Negocio del Grupo BME.

Comité de Dirección

Es el organismo ejecutivo de más alto nivel dentro del Grupo BME y máximo responsable en materia de gestión de la Continuidad de Negocio del Grupo.

Comité de Continuidad y Riesgos

Es el organismo encargado de la articulación de la Continuidad de Negocio dentro del Grupo BME cuya principal competencia consiste en velar por la aplicación de la presente Política de Continuidad de Negocio, así como revisar anualmente la misma proponiendo las modificaciones que estime necesarias en la misma, y sometiéndolas a la aprobación del Comité de Dirección. Asimismo, el Comité de Continuidad y Riesgos velará por las Políticas de Continuidad de Negocio de las sociedades del Grupo que, en virtud de la normativa que les resulte de aplicación, deban contar con una Política de Continuidad del Negocio que se adecúe y complemente la Política de Continuidad del Negocio del Grupo BME.

Responsable de Continuidad

El responsable de continuidad es el principal brazo ejecutor del Comité de Continuidad y Riesgos y sus principales responsabilidades son:

• Coordinar con los departamentos técnicos encargados de los sistemas y comunicaciones los cambios que puedan afectar a los sistemas críticos o a los procesos/procedimientos de recuperación para poder detectar cualquier modificación necesaria en el Plan de Continuidad de Negocio.
• Realizar y actualizar, como mínimo anualmente, el Plan de Continuidad de Negocio y los Procedimientos de Continuidad y someter los mismos a la aprobación del Comité de Continuidad y Riesgos.
• Diseñar, programar, coordinar y documentar el plan de pruebas del Sistema de Gestión de Continuidad de Negocio.
• Informar al Comité de Continuidad de los resultados de las pruebas del Sistema de Gestión de Continuidad de Negocio y del resultado de la auditoria anual del mismo así como proponer los cambios que considere oportunos a la luz de los resultados de las mismas.
• Evaluar el impacto de la activación del Plan de Continuidad de Negocio tanto para el Grupo BME como para terceras partes implicadas.
• Seguir y documentar todas las circunstancias y decisiones tomadas durante una situación de crisis para crear una base de conocimiento que pueda utilizarse para analizar la ejecución del Plan de Continuidad de Negocio y sirva para plantear posibles mejoras sobre el mismo.

Representantes de Continuidad

Los Representantes de Continuidad serán los encargados de articular la función de Continuidad de Negocio dentro de cada una de las Sociedades del Grupo BME. Su función principal es mantener informado al Consejo de Administración de la sociedad del Grupo que le corresponda de cualquier situación relevante que afecte a la continuidad de negocio o cualquier tema relevante tratado en el Comité de Continuidad y Riesgos.

 

Asimismo, con el fin de articular dichos Principios de Continuidad de Negocio, IBERCLEAR cuenta con una estructura en varios niveles con responsabilidades concretas asignadas a cada uno de ellos.

Consejo de Administración

El Consejo de Administración de IBERCLEAR es el órgano competente para aprobar la Política de Continuidad del Negocio de IBERCLEAR y el Plan de Continuidad del Negocio tal y como establece el artículo 6, apartado 2.m), del Reglamento del Consejo de Administración.

Asimismo, es el responsable de velar por la correcta gestión de la continuidad de negocio en la Sociedad, de forma coordinada con los órganos que tienen encomendada la gestión de la continuidad de negocio en el seno del Grupo BME, del que IBERCLEAR forma parte.

Comité de Riesgos

El Consejo de Administración contará con el Comité de Riesgos que, como comité asesor de este órgano sobre la estrategia y la tolerancia globales, actuales y futuras, de la Sociedad en materia de riesgos, asesorará al Consejo de Administración sobre la Política de Continuidad del Negocio de IBERCLEAR y el Plan de Continuidad del Negocio con carácter previo a su aprobación.

Responsable de Riesgos (Chief Risk Officer o CRO)

Al definirse la continuidad de negocio como parte de los riesgos de la Compañía, el Responsable de Riesgos de IBERCLEAR asume las funciones de Representante de Continuidad de la Sociedad encargándose de articular las disposiciones de Continuidad de Negocio dentro del seno de IBERCLEAR.

Sus principales funciones en esta área son:

• Facilitar la recopilación de requisitos y cambios de los sistemas críticos de IBERCLEAR.
• Representar y salvaguardar los intereses de IBERCLEAR dentro del Comité de Continuidad y Riesgos del Grupo BME.
• Mantener informado al Consejo de Administración de IBERCLEAR de cualquier situación relevante que afecte a la continuidad de negocio o cualquier tema relevante tratado en el Comité de Continuidad y Riesgos.

Procesos críticos y objetivos de recuperación

IBERCLEAR ha definido para cada una de sus servicios esenciales identificados el tiempo de recuperación objetivo (RTO).   

Procesos críticos/esenciales	RTO
Notary service	2h
Central maintenance service	2h
Settlement service	2h
RENADE services	45m
PTI (Gestión del Sistema de   Información)	2h
Links service	2h

Medios y estrategia de recuperación

IBERCLEAR dispone de todos los medios necesarios para asegurar la recuperación de sus servicios y funciones esenciales en los tiempos de recuperación objetivo establecidos.

La principal estrategia establecida por IBERCLEAR para asegurar la Continuidad de sus funciones esenciales, y por tanto la Continuidad de su Negocio, es la de redundar todos aquellos elementos que soportan las funciones críticas de la sociedad. Fundamentalmente:

• Disposición de un centro de trabajo alternativo con capacidad suficiente para albergar las funciones necesarias por IBERCLEAR, al que los trabajadores pueden desplazarse en un tiempo adecuado.
• Centros de Procesamiento de Datos diversificados geográficamente que permitan la recuperación de todas las funciones dentro de los tiempos objetivo estipulados.
• Disponibilidad de puestos de trabajo con capacidad de acceso remoto para todo el personal considerado crítico.
• Formación del personal para la realización de las tareas bajo circunstancias críticas de negocio.

IBERCLEAR ha desarrollado y mantiene actualizados los distintos Procedimientos de Continuidad (comunicación, activación, traslado al centro alternativo…) que establecen las disposiciones aplicables en caso de emergencia.