Instruction n° 36 du 11 septembre 2018 relative aux établissements de crédit et institutions de micro finance relative à la continuité d’activité

Les établissements assujettis doivent disposer d’un plan de continuité d’activité écrit, détaillé et testé.

Ils doivent s’assurer de la cohérence et de l’efficacité des plans particuliers de continuité d’activité dans le cadre d’un plan global qui intègre les objectifs définis par l’organe exécutif et validés par l’organe délibérant.

Les mesures adoptées par les établissements assujettis dans le cadre de la gestion de continuité de l’activité doivent figurer dans le rapport annuel de contrôle interne et de gestion des risques, conformément aux dispositions de l’Instruction n° 17 de la Banque Centrale du Congo relative au contrôle interne.

Les établissements assujettis doivent définir un cadre unifié pour la planification de la continuité d’activité afin de s’assurer de la cohérence globale du dispositif et de son caractère opérationnel pour l’ensemble des implantations et des lignes de métiers.

Les établissements assujettis doivent procéder à la désignation d’un Responsable de la continuité d’activité et en informer la Banque Centrale du Congo. Il doit disposer des compétences requises lui permettant d’assurer cette activité.

Afin de garantir l’efficacité du pilotage de la gestion de la continuité d’activité, la responsabilité globale doit en être confiée à un dirigeant de l’établissement assujetti, membre de l’organe exécutif.

Le Responsable de la continuité d’activité est chargé de l’administration du plan en régime de fonctionnement normal, de l’activation du processus de gestion de la crise, de la mise à jour et du contrôle de l’exécution des actions correctives envisagées ainsi que de la réalisation des campagnes de formation et de test du plan.

Le Responsable de la continuité d’activité est tenu de :

• participer au déploiement des mesures inscrites dans le cadre de la gestion de la continuité d’activité ;
• prendre en compte les résultats des tests du plan de continuité d’activité ;
• s’assurer de la conformité des pratiques aux exigences réglementaires, et ;
• assurer le reporting sur le déroulement de la gestion de la continuité d’activité à l’organe exécutif.

L’organe exécutif doit informer sans délai, la Banque Centrale du Congo du déclenchement du plan de continuité d’activité, du plan d’urgence ou du plan de gestion de crise.

L’organe exécutif est tenu d’informer en permanence la Banque Centrale du Congo des développements de la crise affectant l’établissement assujetti, de son impact, des mesures prises dans le cadre des plans précités pour assurer la poursuite ou la reprise d’activité ainsi que de toute difficulté rencontrée dans la mise en œuvre du plan de continuité d’activité.

La politique de gestion de la continuité d’activité doit comprendre des analyses d’impact, une stratégie de reprise de l’activité et des plans de continuité d’activité.

Les analyses d’impact doivent permettre d’identifier les activités et services essentiels, les principales situations de dépendance par rapport à des sources internes et externes à l’établissement assujetti ainsi que les niveaux de résilience appropriés.

À cet effet, les analyses d’impact doivent prendre en compte la cartographie des risques, prévue dans l’Instruction n° 22 relative à la gestion des risques, laquelle doit être mise à jour en fonction des résultats desdites analyses.

Ces analyses doivent permettre d’évaluer les risques et les conséquences de différents scénarii de désastre ou de perturbation opérationnelle majeure sur les activités de la banque ou l’établissement financier et sa réputation.

La stratégie de reprise doit définir, sur la base des analyses d’impact, des objectifs de reprise et des priorités définies, le niveau de service minimum fourni par l’établissement assujetti en cas de désastre ou de perturbation opérationnelle majeure, ainsi que le cadre dans lequel il rétablira des conditions normales d’activité.

Les besoins de l’établissement assujetti doivent faire l’objet d’un cahier des charges fonctionnel et technique permettant de définir les solutions techniques de secours.

Le plan de continuité d’activité doit fournir dans le détail les indications formalisées et documentées sur la manière de mettre en œuvre la stratégie de reprise, en établissant les rôles, en définissant les responsabilités dans la gestion des désastres et perturbations opérationnelles et en fournissant des indications précises sur les plans de succession, de substitution ou délégations de pouvoirs dans le cas où le désastre ou la perturbation aurait entraîné un changement de la chaîne de commandement de l’établissement assujetti.

Le plan de continuité d’activité doit préciser le périmètre des activités couvertes par le plan, les activités traitées en priorité en cas de perturbation opérationnelle majeure, les risques résiduels non couverts par le plan, les délais de mise en œuvre de ce plan, la formalisation des procédures, ainsi que, le cas échéant, la description synthétique des systèmes informatiques de secours et du ou des sites de repli.

Un dispositif efficace de continuité d’activité doit reposer sur les éléments suivants :

• une organisation de gestion de crise avec un Responsable de la continuité d’activité ;
• un plan écrit, détaillé, testé, largement diffusé au sein de l’établissement assujetti de crédit et régulièrement mis à jour ;
• une stratégie de sauvegarde établie en fonction des résultats des analyses d’impact sur les activités de l’établissement assujetti et le fonctionnement du système financier, et périodiquement testée ;
• un site de repli distant et se trouvant dans un environnement physique et technique distinct de l’environnement initial ;
• une gestion rationalisée des ressources humaines ;
• une solution technique de secours informatique testée et couvrant les besoins de la continuité.

Les établissements assujettis doivent identifier leurs points de fragilité au travers de contrôles internes et d’audits externes afin de définir et de mettre en place un plan de mesures visant à prévenir ou à minimiser les sinistres et perturbations opérationnelles majeurs et réduire l’étendue des risques résiduels à couvrir dans le plan de continuité d’activité.

Les établissements assujettis doivent établir la cartographie et définir les scénarii de sinistres devant être pris en compte dans leur plan de continuité d’activité.

A cet effet, ils doivent :

• identifier les activités essentielles pour leur survie ou le bon fonctionnement du système financier ;
• identifier les menaces qui pèsent sur ces activités et qui pourraient en causer la discontinuité ;
• évaluer pour chaque risque la probabilité d’occurrence et l’impact potentiel, notamment l’échelle d’évaluation des sinistres, la grille d’évaluation des impacts des sinistres, la typologie des risques et les sinistres ;
• définir la stratégie de gestion des risques pour chaque risque identifié et caractérisé ;
• définir les hypothèses d’élaboration de leur plan de continuité d’activité en prenant en compte l’ampleur des scénarii de sinistres.

La cartographie des sinistres doit prendre en compte la cartographie des risques, prévue dans l’Instruction n° 22 relative à la gestion des risques. L’établissement doit s’assurer de la cohérence entre les deux cartographies.

La cartographie et les scénarii de sinistres doivent être régulièrement mis à jour, notamment à l’occasion de chaque changement important survenant dans la vie de l’établissement assujetti ou dans son organisation, en particulier tors de la création de nouveaux sites ou implantations et lors de la modification de l’infrastructure existante.

Les établissements assujettis doivent déterminer l’impact des sinistres potentiels sur leurs activités et sur le fonctionnement du système financier et préciser une stratégie de continuité d’activité qui prenne en compte les enjeux définis.

Le bilan d’impact sur les activités doit être établi sur la base de :

• l’identification et la classification des activités et fonctions essentielles ainsi que des risques qui pèsent sur chaque activité ou fonction essentielle ;
• la validation des objectifs de reprise ou de continuité pour chaque activité ou fonction essentielle ;
• la détermination des processus et des ressources clés liées aux activités et fonctions essentielles afin d’en déduire des modes dégradés de fonctionnement ;
• l’identification des points de défaillance spécifiques et des dépendances internes et externes ;
• l’évaluation des impacts d’interruption de l’activité.

L’analyse des risques sur les activités et les ressources de l’établissement assujetti doit être orientée par le bilan d’impact et permettre de définir les plans de réduction des risques d’interruption de l’activité concernant les processus, activités et ressources identifiés comme essentiels.

Le développement du plan de continuité d’opérations consiste à définir les stratégies de gestion des ressources humaines, de sécurité des personnes et des biens ainsi que celle des prestations externalisées.

La mise en œuvre d’un processus de gestion de la continuité d’activité doit consister notamment en :

• l’analyse des risques et des vulnérabilités ;
• la classification des activités essentielles et la définition des besoins fonctionnels ;
• la prise en compte des enjeux en matière de sécurité et des impacts des sinistres potentiels sur l’activité de l’établissement assujetti et sur le secteur financier ;
• la définition d’une stratégie de continuité d’activité cohérente avec les objectifs de l’établissement assujetti ;
• la couverture éventuelle de certains risques par des polices d’assurance appropriées ;
• la mise à jour, la maintenance, le test et l’évaluation des dispositifs prévus ;
• la définition préétablie des responsabilités et des procédures en cas d’urgence, au moyen notamment de l’institution d’une cellule de crise et la définition d’un plan d’urgence ou d’un plan de gestion de crise ;
• la mise en place des procédures permettant le fonctionnement de l’établissement assujetti « en mode dégradé », prenant en compte les impératifs réglementaires ;
• la sensibilisation du personnel et la formation spécifique des acteurs de la gestion de crise ;
• le bilan d’impact sur les activités de l’établissement assujetti.

Les établissements assujettis doivent inclure dans leur plan de continuité d’activité des protocoles et procédures de communication d’urgence en leur sein et à l’égard de toutes les parties prenantes, y compris internationales, en cas de perturbation opérationnelle majeure.

Les établissements assujettis doivent définir les modalités de détection et d’évaluation rapides de la situation de crise, d’alerte des acteurs concernés et d’activation éventuelle du plan de continuité d’activité.

Les établissements assujettis doivent déterminer les tâches et leur enchaînement logique, depuis l’occurrence d’un sinistre jusqu’à la décision de déclencher ou non le plan de continuité d’activité.

Les établissements assujettis doivent définir le mode de remontée des alertes, les acteurs du processus d’analyse et de décision, leurs rôles et leurs responsabilités, les critères d’évaluation des sinistres, les étapes et les responsabilités dans la mise en œuvre du processus de décision d’activation du plan de continuité d’activité, les modes de communication et d’interaction avec les services publics en charge du traitement des situations de crise, les actions de communication interne et externe lors de la crise.

Les établissements assujettis doivent valider et communiquer en interne et en externe le schéma de déclenchement du plan de continuité d’activité.

Les établissements assujettis doivent rédiger et valider les procédures fonctionnelles « en mode dégradé » pour tous les processus essentiels identifiés lors des analyses d’impact sur les activités et fonctions essentielles.

Les établissements assujettis doivent mettre en œuvre la stratégie locale et/ou globale de continuité d’activité pour les processus essentiels.

Les établissements assujettis doivent tenir à jour les résultats des analyses d’impact sur les activités et fonctions essentielles, la liste des contacts utiles, les coordonnées de toutes les parties prenantes en interne et en externe, l’inventaire des ressources essentielles, les informations sur les sauvegardes de données, les références des procédures opérationnelles validées, la matrice d’évaluation des dégâts et des impacts, les premières consignes de sécurité et procédures d’urgence, les fiches signalétiques des sites concernés par le plan de continuité d’activité.

Les établissements assujettis doivent apprécier régulièrement leur organisation et la disponibilité des ressources humaines, immobilières, techniques et financières au regard des risques liés à la continuité de l’activité.

Les établissements assujettis doivent assurer le bon déploiement du plan de continuité d’activité et son maintien en conditions opérationnelles.

Les établissements assujettis doivent assurer le transfert et l’appropriation, au sein de leur organisation et parmi leurs personnels, des informations, des connaissances et des compétences relatives à la gestion de la continuité d’activité par des actions de sensibilisation, de formation et de communication.

Les établissements assujettis doivent concevoir et mettre en œuvre un plan de communication interne et externe sur la gestion de la continuité d’activité. Lors de la conception de ce programme et de ces actions de sensibilisation, de formation et de communication, ils doivent définir :

• le périmètre, les objectifs et les enjeux ;
• les moyens nécessaires à la réalisation des objectifs fixés ;
• les cibles et les modalités du programme de sensibilisation, notamment la fréquence, le type et la durée des actions.

Les établissements assujettis doivent s’assurer que leur plan de continuité d’activité reste opérationnel et adapté aux évolutions internes et à l’évolution de leur environnement.

Les établissements assujettis doivent définir les conditions de mise à jour du plan de continuité d’activité et réaliser les opérations nécessaires à son maintien en condition opérationnelle.

Les établissements assujettis doivent, pour d’une part, déceler les incohérences et les insuffisances du dispositif mis en place et, d’une part, compléter et améliorer les procédures en vigueur, s’assurer que les acteurs de la continuité d’activité sont formés et familiarisés avec leurs rôles et leurs responsabilités dans l’élaboration et la mise en œuvre du plan de continuité d’activité et sont capables de le mettre en œuvre rapidement et efficacement.

Les établissements assujettis doivent valider la conformité des pratiques de gestion de la continuité d’activité aux exigences définies par la présente Instruction et aux besoins exprimés.

Ils sont tenus d’identifier les écarts avec les référentiels en vigueur, de proposer des améliorations de la gestion de la continuité d’activité et d’élaborer un programme annuel d’audit du plan de continuité d’activité.

Les établissements assujettis doivent, selon une périodicité appropriée aux risques et aux conséquences de différents scénarii de perturbation opérationnelle majeure, procéder à une évaluation de leurs dispositifs de gestion de la continuité d’activité au regard de leur capacité à supporter des perturbations opérationnelles majeures.

La portée et la fréquence des tests doivent être déterminées en fonction du caractère essentiel des applications et des fonctions pour l’établissement assujetti considéré, ainsi qu’au regard de sa place dans le système bancaire ou financier et en fonction des changements significatifs survenus dans l’environnement national, régional et international.

Les établissements assujettis doivent, lors des tests du plan de continuité d’activité, s’assurer notamment que :

• le site de repli se trouve dans une zone géographique distincte de l’emplacement primaire et n’utilise pas les mêmes composants que le site primaire au niveau de l’infrastructure physique ;
• le site alternatif dispose de données actualisées suffisantes, d’un équipement au point et des systèmes nécessaires pour récupérer et entretenir les opérations et services essentiels pendant un laps de temps suffisant ;
• le plan de continuité d’activité définit les moyens de transport et les modalités de remplacement du personnel suffisant en termes d’effectif et d’expertise pour reprendre les opérations et services critiques compatibles avec les objectifs de reprise.

Les résultats des tests des plans de continuité d’activité doivent être analysés et les constats significatifs doivent être soumis à l’organe délibérant et à l’organe exécutif dans un délai raisonnable afin que les mesures correctrices nécessaires soient mises en œuvre et le dispositif de gestion de la continuité d’activité mis à jour.

Les établissements assujettis doivent définir une organisation et un mode de réaction aptes à assurer le caractère opérationnel de la solution technique de secours informatique en cas d’activation du plan de continuité d’activité.

Les établissements assujettis doivent préciser les rôles et les responsabilités dans la mise en place du plan de secours informatique et déterminer les solutions de substitution ou de remplacement du personnel avec une définition et une planification de leurs tâches.

Les établissements assujettis sont tenus de réaliser périodiquement un test des solutions techniques et du plan de secours informatique pour permettre leur validation d’un point de vue technique et organisationnel, vérifier leur aptitude à répondre aux besoins définis et apprécier les délais de reprise des opérations.

Les établissements assujettis doivent définir préalablement le périmètre, l’étendue, les objectifs et les conditions de réalisation du test.

Les établissements assujettis doivent, à défaut d’une validation de la solution technique informatique, recueillir toutes les informations possibles afin de mettre en œuvre les mesures correctives qui permettront de rendre opérationnelle la solution de secours.