Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Business continuity management (BCM) pour les compagnies d’assurances en Suisse

Business continuity management (BCM) pour les compagnies d’assurances en Suisse – standards minimaux et recommandations Juin 2015 2 ASA SVV BCM pour les compagnies d’assurances en Suisse | Juin 2015 Impressum Destinataires : Les compagnies d’assurances assujetties à la surveillance de la Finma Editeur : Schweizerischer Versicherungsverband SVV | Association Suisse d’Assurances ASA Conrad-Ferdinand-Meyer-Strasse 14 Case postale CH-8022 Zurich Tel. +41 44 208 28 28 Fax +41 44 208 28 00 info@svv.ch www.svv.ch Comité compétent : Comité Finance & régulation Interlocuteur : Alex Schönenberger Département finance et régulation Schweizerischer Versicherungsverband SVV | Association Suisse d’Assurances ASA Case postale, CH-8022 Zürich Pour commander : alex.schoenenberger@svv.ch © 2015 Association Suisse d’Assurances Juin 2015 3 BCM pour les compagnies d’assurances en Suisse | Juin 2015 ASA SVV Sommaire Exposé de la situation Objectifs et responsabilités Fondements Champ d’application Standards minimaux 6 1. Business impact analysis 6 2. Business continuity strategy 6 3. Mesures de Business continuity 6 4. Exercices et tests 7 5. Opérationnalisation et conduite Recommandations 8 Prescriptions en matière de Business continuity management 8 Prestations externes 8 Gestion de crise 8 Communication de crise 9 Bilan du Business continuity management 9 Exercices et tests 9 Compte rendu Entrée en vigueur Sources Glossaire 4 4 5 5 6 8 10 11 11 4 ASA SVV BCM pour les compagnies d’assurances en Suisse | Juin 2015 Exposé de la situation Objectifs et responsabilité L’activité d’une compagnie d’assurances peut se retrouver fortement entravée par des événements exceptionnels et des situations de crise. Dans un souci de préservation de la survie de l’entreprise et du maintien de ses activités, des mesures sont nécessaires pour surmonter les situations de crise et garantir la poursuite des processus critiques de l’en- treprise (Business continuity management – BCM ou Gestion de la continuité des activités – GCA). Le présent document s’adresse aux compagnies d’assu- rances assujetties à la surveillance de l’Autorité fédérale de surveillance des marchés financiers (Finma). Il comprend des standards minimaux et des recommandations permettant d’élaborer une méthode de gestion de la continuité des ac- tivités de l’entreprise qui épouse parfaitement les besoins de celle-ci. Les différentes caractéristiques de l’entreprise, telles sa taille, sa complexité et son profil de risques, sont alors prises en compte. Entrent dans le champ d’application des présentes recom- mandations les compagnies d’assurances exerçant en Suisse. Ces standards minimaux et ces recommandations sont réputés sans incidence sur la relation de droit civil entre les compagnies et leurs clients. Le Business continuity management est censé préserver la survie de l’entreprise et lui permettre de maintenir et de poursuivre ses activités même en cas d’événements excep- tionnels et de situations de crise. On entend par là tous les événements pouvant menacer les activités de l’entreprise, comme : – – une défaillance technique ou humaine, – – des cyberattaques, – – une pandémie, – – des catastrophes naturelles, – – des attaques terroristes. Le Business continuity management vise à minimiser les conséquences de tels événements et situations sur les plans financier et juridique ainsi qu’en termes d’atteinte à l’image de marque. Le Business continuity management relève de la respon- sabilité du conseil d’administration de l’entreprise, lequel peut déléguer ses compétences à la direction générale ou à d’autres services. Les standards minimaux précisent les exigences minimales applicables aux compagnies d’assurances exerçant en Suisse. Les recommandations entendent aider les entreprises à dé- finir le plus précisément possible la manière dont elles sou- haitent structurer leur gestion de la continuité des activités. Les éléments du Business continuity management 5 BCM pour les compagnies d’assurances en Suisse | Juin 2015 ASA SVV Fondements Champ d’application Les présents standards minimaux et recommandations s’ap- puient sur diverses normes reconnues (cf. les sources in- diquées en annexe). Ils reposent notamment sur la norme internationale ISO 22313 : « Societal Security – Business conti- nuity management Systems – Guidance » (Sécurité sociétale – Systèmes de management de la continuité d’activité – Lignes directrices). Conformément à la norme ISO, un Business continuity management doit contenir les éléments de l’illus- tration suivante pour être complet. Par Business continuity management, il faut entendre une méthode de gestion mise en œuvre à l’échelle de toute l’en- treprise. Celle-ci vise à assurer la continuité opérationnelle des processus d’exploitation critiques, leur poursuite ou leur rétablissement dans les meilleurs délais en cas d’évé- nements exceptionnels, internes ou externes, ayant une in- cidence massive et radicale sur l’activité de l’entreprise, et ce pendant ces événements mêmes et après leur survenance. Les entreprises doivent prendre en compte l’ensemble des risques et des menaces pouvant potentiellement les mettre dans une situation de crise. On entend par là les situations ne pouvant être maîtrisées par les outils de gestion et les instances décisionnelles ordinaires et risquant de mettre en danger la poursuite des activités de l’entreprise. En consé- quence, est expressément exclue du champ d’application du Business continuity management la gestion des « dysfonc- tionnements » qui ne peuvent perturber l’activité de l’entre- prise ni de manière importante, ni de manière durable. Pour la mise en place du Business continuity management, il faut se concentrer principalement sur les conséquences (incidences des risques résiduels dans le temps) et non sur les causes des situations de crise. Après une interruption de l’activité, il est recommandé de tenir compte, pour le réta- blissement des processus et des activités critiques, de diffé- rentes options en matière de continuité des activités concer- nant les ressources indispensables à l’entreprise, à savoir : – – le personnel, – – les infrastructures (par exemple locaux, postes de travail, approvisionnement énergétique), – – les outils techniques, les moyens de télécommunication, l’équipement informatique (données, systèmes) ainsi que – – les prestataires externes. Le Business continuity management doit garantir le respect optimal des dispositions légales, réglementaires, contrac- tuelles et internes, même en situation de crise. 1. Business impact analysis 3. Mesures de Business continuity 5. Opérationnalisation et conduite 2. Business continuity strategy 4. Exercices et tests 6 ASA SVV BCM pour les compagnies d’assurances en Suisse | Juin 2015 Standards minimaux 1. Business impact analysis L’analyse des répercussions sur l’activité, ladite Business impact analysis, comprend l’identification et la classification des processus d’exploitation critiques importants et des res- sources nécessaires pour leur bon fonctionnement. Pour ces processus critiques, sont évaluées les incidences d’une défaillance totale ou partielle des ressources néces- saires, ce qui permet de définir les mesures provisoires et durables requises pour leur bon rétablissement. L’analyse prend en considération les incidences notamment en termes – – d’exploitation (opérations), – – de finances, – – de réputation et – – de compliance. Cette évaluation intègre aussi les interdépendances perti- nentes entre les différents processus (dépendances au ni- veau des processus). Il faut procéder à une Business impact analysis au moins tous les trois ans et vérifier sa pertinence au cas par cas (par exemple en présence de nouveaux secteurs d’activités ou en cas d’utilisation de nouvelles technologies). 2. Business continuity strategy La stratégie de continuité des activités ou Business conti- nuity strategy – – précise les durées maximales admissibles des défail- lances ; – – désigne, en s’inspirant de la Business impact analysis, les domaines d’activités qui relèvent du Business conti- nuity management ; – – détermine les différentes approches possibles (options) en cas de crise ; – – fixe l’étendue des mesures de continuité des activités en termes de personnel, de locaux, d’outils techniques, de moyens de télécommunication, d’équipement informa- tique ainsi que de prestataires externes. L’acceptation de certaines incidences peut aussi constituer une option : aucune mesure transitoire ni durable n’est alors déterminée pour leur correction. Cela doit être documenté en conséquence dans la Business continuity strategy. 3. Mesures de Business continuity Sur la base de la Business impact analysis et dans le cadre des prescriptions ressortant de la Business continuity strategy, les mesures relatives à la continuité des activités décrivent la manière dont l’entreprise assume la continuité de ses activités opérationnelles. Les mesures de continuité des activités spécifient – – les processus et – – les moyens permettant de surmonter les défaillances temporaires de processus critiques et les ressources alors nécessaires (per- sonnel, locaux, outils techniques, moyens de télécommuni- cation, équipement informatique, prestataires externes) en vue du rétablissement de la situation normale. Les secteurs concernés et leurs collaborateurs doivent avoir connaissance des mesures de continuité des activités qui ont été définies (par exemple processus critiques surmon- tés grâce à des changements de postes de travail) et, si né- cessaire, avoir reçu les formations correspondantes (par exemple utilisation de systèmes de secours). 4. Exercices et tests Des exercices et des tests permettent de contrôler et de véri- fier la mise en œuvre des mesures indiquées et leur capacité à aider l’entreprise à surmonter les situations de crise. Il faut spécifier en amont la périodicité des exercices et des tests permettant de mettre à l’épreuve et de vérifier l’effica- cité des mesures définies pour la continuité des activités (par exemple redémarrage des systèmes informatiques critiques). Le Business continuity management d’une compagnie d’assurances doit contenir au minimum les normes pruden- tielles mentionnées ci-après. Par ailleurs, leur bon uploads/Management/business-continuity-management-asa-fr-2015.pdf