9.2 الاختبارات
المبدأ
يجب على المؤسسة المالية تحديد، واعتماد، وتطبيق، ومراقبة الاختبارات الدورية لاستمرارية الأعمال وخطط التعافي من الكوارث بما يمكن تدريب موظفيها والأطراف الثالثة، واختبار فعالية خطط استمرارية الأعمال والتعافي من الكوارث.
الهدف
التأكد من ملائمة الخطط الحالية لاستمرارية الأعمال والتعافي من الكوارث للمؤسسة المالية، وأن الموظفين والأطراف الخارجية مدربون على تطبيق هذه الخطط.
1.9.2 اختبار خطة استمرارية الأعمال
الضوابط الأساسية
- يجب على المؤسسة المالية إجراء تمارين محاكاة دورية لاختبار خطة استمرارية الأعمال (مرة واحدة في السنة كحد أدنى).
- يجب أن تراعي الاختبارات ملائمة السيناريوهات وخطط تنفيذها ووضوح أهدافها (على سبيل المثال وفق الوحدات الإدارية، والخدمات، والعمليات، والموقع، وأسوأ الاحتمالات)، كما يجب على المؤسسة المالية مراعات تضمين سيناريوهات الأمن السيبراني.
- يجب أن تشمل سيناريوهات الاختبار تفعيل وإشراك فريق إدارة الأزمات.
- بعد الانتهاء من الاختبارات الفردية أعلاه، يجب على كل مؤسسة مالية مراعات إجراء اختبار متكامل لإدارة استمرارية الأعمال لجميع الخدمات الحساسة والعمليات المؤسسية والوحدات الإدارية.
- يجب على المؤسسة المالية إجراء تمارين محاكاة دورية لاختبار خطة استمرارية الأعمال (مرة واحدة في السنة كحد أدنى).
2.9.2 اختبار خطة التعافي من الكوارث
الضوابط الأساسية
- يجب على المؤسسة المالية إجراء اختبار دوري للتعافي من الكوارث بالتزامن مع خطة استمرارية الأعمال (مرة واحدة في السنة كحد أدنى).
- يجب على المؤسسة المالية تقييم اختبار التعافي من الكوارث للبنى التحتية التقنية لأنظمتها الحساسة، وذلك للتأكد من إمكانية وجاهزية التعافي من الكوارث واستئناف العمليات المؤسسية الحساسة لفترة من الوقت في حال وقوع كارثة كبرى.
- يجب أن تتيح نتائج اختبار التعافي من الكوارث تقييمها والتحسينات المقترحة لإدارة الأحداث المعطّلة ذات الأثر على استمرارية أعمال المؤسسة المالية.
- يجب أن يشمل ذلك تفعيل وإشراك فريق إدارة الأزمات.
- يجب على المؤسسة المالية إجراء اختبار دوري للتعافي من الكوارث بالتزامن مع خطة استمرارية الأعمال (مرة واحدة في السنة كحد أدنى).
3.9.2 الاختبارات المنفذة
1. يجب توثيق النتائج التفصيلية لكافة التمارين والاختبارات للرجوع إليها في المستقبل. وأن تتضمن نتائج التمارين/الاختبارات الاعتبارات الآتية دون الحصر:
أ. التأكد من تحقيق أهداف التمرين المطبق للخطة.
ب. التأكد من قدرة وجاهزية موارد التعافي.
ج. توثيق الدروس المستفادة والتحسينات المطلوبة.
د. تحديد السبب الجذري للفشل في حال حدوثه، وإجراءات المعالجة الواجب متابعتها حتى الوصول الى نتيجة ناجحة.
2. يجب إعادة اختبار الخطة وفق المدة الزمنية المحددة في حالة فشلها، على أن لا تتجاوز المدة الزمنية ثلاثة (3) أشهر.
3. يجب على المراجع الداخلي في المؤسسة المالية أو المراجع الخارج المؤهل مراقبة أنشطة اختبار استمرارية الأعمال والتعافي من الكوارث عبر المشاركة المستقلة ولغرض التأكيد المعقول بشأن الأنشطة المطبقة ونتائج الاختبارات وما إن كانت تلبي الأهداف الشاملة لبرنامج استمرارية أعمال المؤسسة المالية.
4. يجب إبلاغ لجنة إدارة استمرارية الأعمال والإدارة العليا ومجلس الإدارة بنتائج كافة اختبارات خطة استمرارية الأعمال وخطة التعافي من الكوارث.