Historique
Le présent avis vise à donner aux membres des directives quant à l’élaboration et à la mise en application d’un plan de continuité des opérations.
La Règle 2.9 de l’ACFM stipule que les membres doivent établir et maintenir des contrôles internes adéquats. Ces contrôles internes comprennent des politiques et procédures qui sont établies et maintenues par la direction en vue de faciliter la réalisation de leur objectif, soit d’assurer, dans la mesure du possible, la conduite ordonnée et efficace de l’entreprise de l’entité.
Le sentiment d’insécurité grandissant face à une interruption possible des activités en raison d’actes terroristes, de l’éclosion d’une maladie généralisée ou d’une catastrophe naturelle a fait en sorte que la planification de la continuité des opérations est devenue une composante importante de la protection des investisseurs et du maintien de la stabilité du marché.
Par conséquent, le personnel de l’ACFM est d’avis que les membres devraient élaborer et maintenir des dispositions visant à assurer la continuité des opérations afin de pouvoir minimiser convenablement l’interruption des activités dans diverses situations de crise potentielles, de continuer à fournir leurs services ou de reprendre leurs activités dans un délai raisonnable.
Planification de la continuité des opérations
Les membres sont invités à élaborer un plan de continuité des opérations qui est compatible avec leur taille et leur modèle de gestion et qui décrit la procédure à suivre dans une situation d’urgence ou en cas d’interruption importante des activités.
Cette procédure devrait notamment contenir des éléments suivants :
- une définition des événements susceptibles de déclencher les dispositions en matière de continuité des opérations;
- l’identification des activités et des services essentiels qui seront offerts en situation de crise;
- une définition des responsabilités de la direction ou du personnel relativement à la gestion de l’interruption des activités;
- la procédure à suivre pour maintenir les principales activités commerciales et, si l’interruption est inévitable, pour reprendre les activités dans un délai satisfaisant;
- la répartition de ressources suffisantes pour assurer la continuité des opérations;
- les systèmes de secours assurant la protection et la récupération des données et des registres des clients (électroniques ou physiques);
- la procédure à suivre pour aviser les parties concernées de la survenance d’un événement, maintenir un contact dans les situations de crise, donner des directives claires au sujet des fonctions du personnel clé et coordonner les opérations pendant la mise en œuvre du plan de reprise des activités;
- les renseignements sur les dispositions en matière de continuité des opérations des fournisseurs de service, s’il y a lieu. Il incombe au membre de vérifier que ses fournisseurs de services tiers importants ont instauré de telles dispositions.
Tout comme les politiques et procédures, les dispositions en matière de continuité des opérations doivent être rédigées par écrit, puis passées en revue et faire l’objet d’un essai au moins une fois par année. Tout le personnel doit être avisé de l’existence et des particularités des dispositions en matière de continuité des opérations et être en mesure de les consulter rapidement dans une situation d’urgence. Les dispositions en matière de continuité des opérations doivent également être approuvées par la haute direction.