«خطة استمرار التشغيل أثناء وبعد حدوث كارثة» (Business Continuity Plan)

على المصارف العاملة في لبنان كافة، بغية تأمين استمرارية أعمالها عند التعرض لكارثة أو لأي حدث قد يؤدي إلى منعها من العمل بشكل طبيعي، إعداد «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» (Business Continuity Plan) خلال مهلة أقصاها سنة من تاريخ صدور هذا القرار.

يجب أن تتضمن الخطة المذكورة:

ـ إجراءات وقائية واحترازية.

ـ إجراءات الكشف والتحقق من حصول الكارثة (Detection Proceducers).

ـ إجراءات الإنقاذ الإنقاط أو انماط التشغيل أثناء وبعد الكارثة.

ـ إجراءات العودة في نمط العمل الطبيعي.

بغية إعداد «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» على المصارف المعنية اعتماد المبادئ العامة، المعدة بالاستناد إلى المعيار ISO IEC 27002-2005، لا سيما ما يأتي:

1 ـ تصنيف المخاطر

يهدف هذا التدبير إلى تحديد المخاطر التي يمكنها أن تؤثر على استمرارية عمل المصرف وبالتالي تؤدي إلى وضع «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» قيد التنفيذ وذلك بغية تحديد مختلف سيناريوهات الكارثة التي يمكن أن يتعرض لها المصرف.

وهذه المخاطر قد تنجم، على سبيل المثال لا الحصر، عن:

أ ـ الكوارث الطبيعية (عواصف، فيضانات، حرائق، هزات أرضية...).

ب ـ الأحداث المرتبطة بأسباب بشرية (حرب، أعمال شغب، عصيان، سرقة، أعمال إرهابية، إضرابات...).

2 ـ تصنيف أعمال المصرف

يهدف هذا التدبير إلى تعداد الأعمال التي يقوم بها المصرف في الظروف العادية وتحديد مستوى أهمية كل منها وفترة الانقطاع القصوى الممكن قبولها بحيث يمكن تصنيفها، على سبيل المثال، وفقا لما يلي:

أ ـ أعمال حيوية وهي تهدف إلى تأمين استمرارية عمل المصرف ويجب أن تتوفر بشكل دائم.

ب ـ أعمال ضرورية لكنها غير حيوية، ومن الممكن عدم توفرها لفترة قصيرة.

ج ـ أعمال اختيارية من الممكن عدم توفرها لفترات قد تطول.

3 ـ اختيار الأعمال وفقا لنمط التشغيل أثناء وبعد الكارثة

يهدف هذا التدبير إلى اختيار الأعمال التي لا يجوز انقطاعها لتأمين استمرارية عمل المصرف خلال اعتماد نمط التشغيل أثناء وبعد الكارثة وبالتالي الاستناد إلى التصنيف المعد للأعمال التي يقوم بها المصرف في الظروف العادية بغية تخفيض هذه الأعمال بحيث يتم الاكتفاء بالأعمال الأساسية والضرورية لفترة محدودة بانتظار العودة إلى نمط العمل الطبيعي.

4 ـ تصنيف الموارد وتأمينها خلال اعتماد نمط التشغيل أثناء وبعد الكارثة

يهدف هذا التدبير إلى تأمين جميع الموارد اللازمة للقيام بالأعمال التي تم اختيارها وفقا للبند (3) أعلاه، بحيث يتم تصنيف الموارد بحسب ضرورتها وسهولة الحصول عليها خلال اعتماد نمط التشغيل أثناء وبعد الكارثة على أن يتم تأمين المعدات التي يصعب العثور عليها خلال مرحلة إعداد الخطة.

ولهذه الغاية تصنف الموارد اللازمة، على سبيل المثال، وفقا لما يلي:

أ ـ موارد حيوية: وهي لازمة لتنفيذ الأعمال الحيوية.

ب ـ موارد ضرورية: وهي لازمة لتنفيذ الأعمال الضرورية.

ج ـ موارد اختيارية: وهي تتيح تنفيذ الأعمال بشكل أسهل وأفضل، وإن اقتضى تأمين هذه الموارد لاحقا.

5 ـ اختيار الموقع البديل

يقتضي، وفقا للحالة وحسب نوع الكارثة، اختيار موقع بديل يتم فيه إدارة أعمال المصرف وفقا لنمط التشغيل أثناء وبعد الكارثة على أن تتوفر في الموقع المنوه عنه المعايير التالية:

أ ـ جغرافيا: أن يكون بعيدا عن الموقع الأساسي.

ب ـ سياسيا: أن يكون في منطقة مستقرة غير معرضة للاضطرابات.

ج ـ أمنيا: أن يكون في منطقة قابلة لضمان أمنها بشكل ملائم.

د ـ سهولة الوصول: أن يكون في منطقة يمكن للمعنيين الوصول إليها بأكثر من وسيلة نقل واحدة.

هـ ـ توفر الخدمات: أن تتوفر فيه الخدمات العامة الضرورية (كهرباء، اتصالات...).

و ـ التجهيزات: أن يكون مجهزا بشكل ملائم للتصنيف الوارد في البند (4) أعلاه.

ز ـ الجهوزية: أن يتم اختيار مستوى الجهوزية وفقا لما يلي:

ـ جهوزية دائمة (Hot Site)،

ـ جهوزية جزئية (Warm Site).

ـ حد أدنى من الجهوزية (Cold Site).

6 ـ تحديد الأشخاص المكلفين إدارة الخطة وتحديد مهامهم ومسؤولياتهم

إن تنفيذ «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» بشكل ملائم، يوجب تحديد وتوصيف وتوثيق الوظائف والمهام اللازمة لإدارة الخطة وإعداد لائحة بالأشخاص الأساسيين والبديلين القادرين على إدارة مختلف الأعمال الواجب تنفيذها وتوزيع الأدوار والمهام عليهم، بدءا بأصحاب القرار المخولين إعلان وضع الخطة موضع التنفيذ أو التوقيع وإلزام المصرف أو التنسيق في ما بين أعضاء الفريق، وصولا إلى الموظفين المكلفين تنفيذ العمليات المصرفية والاحتفاظ بمعلومات مفصلة عن الأوضاع اللوجستية للأشخاص المعنيين وتأمين وسائل اتصال متعددة بين أعضاء الفريق المعني بالخطة.

يتم اختيار هؤلاء الأشخاص، وفقا للأسس والمعايير التالية:

أ ـ القدرة اللازمة للتشغيل وصلاحية إلزام المصرف.

ب ـ الجهوزية للعمل في ظروف صعبة.

ج ـ القدرة على القيام بمختلف المهام المطلوبة وفقا للخطة.

د ـ اختيار عدة أشخاص قادرين على القيام بالعمل المطلوب، وذلك استنادا إلى التوزع الجغرافي ووجود إمكانيات اتصال متعددة بكل واحد منهم.

هـ ـ الإقامة في مكان قريب نسبيا من الموقع البديل.

7 ـ تدريب الأشخاص المكلفين إدارة الخطة

يجب تدريب الأشخاص المكلفين إدارة «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» بشكل ملائم وإعدادهم لتشغيل هذه الخطة عند الضرورة.

8 ـ نقل البيانات وصيانة البرامج

يهدف هذا التدبير إلى تأمين قنوات اتصال آمنة بغية نقل المعلومات بشكل سليم بين الموقع الأساسي والموقع البديل كما يشمل تحديث المعلومات والبيانات والبرامج بمستوياتها كافة وصيانتها كي يبقى الموقع البديل على جهوزية وتناسق مع الموقع الأساسي.

9 ـ إجراءات الأمان

إن ضمان الأمان في «خطة استمرار التشغيل أثناء وبعد حودث كارثة» قضية بالغة الأهمية نظرا لتأثيرها على نقل جميع المعلومات الحيوية إلى الموقع البديل.

لذلك من الضروري التحقق، بشكل دائم، من أمان الخطة بجميع جوانبها للتأكد من جدواها ومنع خرقها والدخول إلى المعلومات دون إذن بحيث يتم التحقق بشكل منتظم من:

أ ـ الأمن المادي ومراقبة البيئة (كهرباء، حريق...).

ب ـ الأمان في قنوات الاتصال والحماية من اختراق النظام.

ج ـ مراقبة حسن عمل نظم المعلوماتية في الموقع البديل.

10 ـ اجراءات تنفيذ الخطة

يجب تحديد جميع الإجراءات والخطط وتوزيع الأدوار وتوصيفها وتوثيقها بشكل ملائم يتيح استخدامها عند الضرورة لتنفيذ «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» بحيث تشكل هذه الإجراءات دليل استخدام يتضمن، على الأقل، العناصر التالية:

أ ـ آلية إعلان وضع الخطة موضع التنفيذ.

ب ـ توزيع الأدوار وتعيين الأشخاص المكلفين بالتنفيذ.

ج ـ الإجراءات المتعلقة بإدارة تشغيل الموقع البديل.

د ـ المعدات اللازمة لإكمال تجهيزات المعلوماتية في الموقع البديل ولائحة موردي هذه التجهيزات.

هـ ـ إجراءات الأمان.

و ـ الإجراءات الأمنية.

ز ـ لائحة موردي تجهيزات الدعم في الموقع البديل (تجهيزات غير معلوماتية مثلا مفروشات، أجهزة هاتف، UPS،...).

ح ـ إجراءات العودة إلى نمط العمل الطبيعي والانتقال إلى الموقع الأساسي.

11 ـ اختبار الخطة:

يجب اختبار الخطة عندما تصبح جميع عناصرها جاهزة على أن يتم إجراء محاكاة للكارثة، مرة واحد على الأقل، بغية التأكد من فعالية الموقع البديل، حيث يتوجب، والتأكد من كفاءة وأهلية وجهوزية الأشخاص المكلفين بتنفيذ الخطة.

12 ـ تحديث الخطة:

بعد إنجاز هذه الخطة والموافقة عليها، يجب تحديثها باستمرار وفق التغيرات الحاصلة، ومنها مثلا:

أ ـ التغير في الأشخاص المكلفين أو في المسؤوليات.

ب ـ التغير في التجهيزات والبرامج.

ج ـ التغير في أعمال المصرف.

د ـ التغير في النظم وإجراءات الأمان.

يمكن للمصارف توسيع وتكييف الخطوات المبينة في المادة الثانية أعلاه وفق حاجات وأوضاع كل منها.

على مفوضي المراقبة لدى المصارف القيام بما يلي:

1 ـ التأكد من قيام المصارف المعنية بوضع «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» والسياسات والإجراءات المكملة.

2 ـ إجراء التقييم اللازم لـ «خطة استمرار التشغيل أثناء وبعد حدوث كارثة» وللإجراءات المكملة لها وإبداء الرأي في مدى كفايتها ومدى كفاءتها وفعاليتها.

يعمل بهذا القرار فور صدوره.

ينشر هذا القرار في الجريدة الرسمية.