VEIKLOS TĘSTINUMO PLANAS

BENDROSIOS NUOSTATOS

NEO Finance, AB, veiklos tęstinumo planas (toliau – Planas) nustato NEO Finance, AB (toliau - Bendrovė) taikomas priemones ir procedūras, skirtas užtikrinti, kad Bendrovės veiklos būtų vykdomos nuolat ir nenutrūkstamai, nepertraukiamas sutartinių įsipareigojimų vykdymas nenumatytų aplinkybių atvejais vyktų sklandžiai.

Veiklos tęstinumo planas - tai planas, kuris užtikrina savalaikį ir organizuotą tęstinumą ar greitą veiklos atkūrimą po ekstremaliosios situacijos. Šis procesas apima metodus ir priemones, kurie užtikrina, kad tiek ekstremaliosios situacijos metu, tiek po jos pagrindinė Bendrovės veikla išliktų pastovi bei nenutrūktų.

Planas yra reguliariai testuojamas ir bent kartą per metus, siekiant užtikrinti Bendrovės gebėjimą nuolat vykdyti veiklą ir apriboti nuostolius veiklai sutrikus. Visi sunkumai ar trikdžiai vykdant testavimus yra dokumentuojami ir vertinami atitinkamai tikslinant veiklos tęstinumo planą.

Už Plano įgyvendinimą yra atsakingas Bendrovės vadovas ar jo įgaliotas administracijos vadovo pavaduotojas. Tuo atveju, jeigu Bendrovės vadovas dėl objektyvių priežasčių negali atlikti savo funkcijų (atostogauja, serga ir pan.), Bendrovės vadovas iš anksto paskiria Bendrovės darbuotoją, atsakingą už visų šiame Plane numatytų funkcijų įgyvendinimą.

Bendrovės Valdyba bent kartą per metus arba pagal poreikį peržiūri ir susipažįsta su Planu.

NAUDOJAMOS SĄVOKOS

ABD – NeoPay atvirosios bankininkystės departamentas.

ABĮ – Lietuvos Respublikos akcinių bendrovių įstatymas.

Akcininkas – UAB „ERA Capital“, įmonės kodas 300638657, buveinė Ulonų g. 5, Vilnius. Akcininkui priklauso pagrindinis Bendrovės akcijų paketas.

AML - pinigų plovimo, teroristų finansavimo ir sukčiavimo prevencija.

BDAR (Bendrasis duomenų apsaugos reglamentas) – 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB.

Bendrovė – NEO Finance, AB, įmonės kodas 303225546, buveinė Ukmergės g. 126, Vilnius. Bendrovė veikia kaip Elektroninių pinigų įstaiga, Vartojimo kredito davėjas ir Tarpusavio skolinimo platformos operatorius.

Bendrovės dukterinė įmonė – UAB Finomark, įmonės kodas 305538582, buveinė Ukmergės g. 126, Vilnius. Bendrovės dukterinė įmonė veikia kaip Sutelktinio finansavimo platformos operatorius.

Bendrovės – Bendrovė ir Bendrovės dukterinė įmonė.

Bendrovių krizių valdymo grupė – nestruktūrinis Bendrovių organas, atsakingas už sprendimų priėmimą, kai visos Bendrovės veiklą veikia incidentas ar krizė. Organas yra neformalus ir sudaromas Bendrovių vadovų nuostata.

EPĮ – elektroninių pinigų įstaiga, kurią apibrėžia Lietuvos Respublikos Elektroninių pinigų ir elektroninių pinigų įstaigų įstatymas.

Finomark – Bendrovės dukterinės įmonės valdoma sistema, kurioje yra saugomi ir kaupiami visi duomenys, susiję su sutelktinio finansavimo platformos operatoriaus veikla. Bendrovės dukterinės įmonės klientams sistema pasiekiama internete adresu: https://www.finomark.lt/.

Incidentas – bet kokia esama ar neišvengiama situacija, kuri gali turėti trikdantį poveikį įprastai Bendrovių veikla ir turėti neigiamą poveikį paslaugų teikimui. Verslo tęstinumo požiūriu bet koks incidentas gali tapti krize, jei poveikis būtų didelis arba ilgalaikis.

Klientas – bent viena Sistema besinaudojantis fizinis arba juridinis asmuo.

KYB - Kliento pažinimo procesas, juridiniams asmenims.

KYC - Kliento pažinimo procesas, fiziniams asmenims.

Licencija – Lietuvos banko Bendrovei 2017-01-05 išduota elektroninių pinigų įstaigos licencija Nr. 7 (licencija buvo atnaujinta: 2018-10-30 – leidimu teikti mokėjimo inicijavimo paslaugas; 2020-05-14 – leidimu teikti sąskaitos informacijos paslaugas).

MIP – mokėjimo inicijavimo paslauga, kaip tai apibrėžia Lietuvos Respublikos mokėjimų įstatymas.

„NeoPay” – tai MIP / SIP ir kitų atvirosios bankininkystės paslaugų teikimo sistema, kuri pasiekiama internete adresu: https://mano.NeoPay.lt.

Paskolos davėjas – fizinis arba juridinis asmuo, skolinantis per Sistemą, kaip tai apibrėžia VKĮ.

Priežiūros institucija – Lietuvos bankas ir / arba kita LR institucija, atliekanti Bendrovės reguliacinę priežiūrą.

„Paskolų klubas” – Bendrovės valdoma sistema, kurioje yra saugomi ir kaupiami visi duomenys, susiję su Bendrovės vykdoma elektroninių pinigų leidimo veikla, tarpusavio skolinimo platformos operatoriaus veikla, mokėjimo paslaugų veikla, išskyrus mokėjimo inicijavimo ir sąskaitos informacijos paslaugas. Bendrovės klientams Sistema pasiekiama internete adresu: https://www.paskoluklubas.lt/prisijungti.

Rizikos pareigūnas – asmuo, atsakingas už vidinių rizikos valdymo modelių kūrimą, bendrą Bendrovės rizikos valdymo sistemos priežiūrą.

SIP – sąskaitos informacijos paslauga, kaip tai apibrėžia Lietuvos Respublikos mokėjimų įstatymas.

SFPO – sutelktinio finansavimo platformos operatorius

Sistema – Tarpusavio skolinimo platformos „Paskolų klubas” sistema, Sutelktinio finansavimo platformos “Finomark” sistema, Elektroninių pinigų ir mokėjimų sistema, ir MIP/SIP „NeoPay” sistema toliau tekste kartu vadinamos Sistemomis.

TSPO – tarpusavio skolinimo platformos operatorius, kaip tai apibrėžia VKĮ.

Verslo tęstinumo sutrikimas (krizė) - neplanuotas ir nepageidaujamas Bendrovių veiklos sutrikimas tam tikroje srityje, kuris gali sutrikdyti Bendrovių veiklos veikimą ar nutraukti jos veiklos tęstinumą, t.y. bet kokia nestandartinė situacija, kelianti rizikos grėsmę. Paprastai prasideda kaip incidentas.

VK – vartojimo kreditas, kaip tai apibrėžia VKĮ.

VKD – vartojimo kredito davėjas.

VKG – vartojimo kredito gavėjas, kai VK suteikiamas per Sistemą, kaip tai apibrėžia VKĮ.

VKĮ - Lietuvos Respublikos vartojimo kredito įstatymas.

Vyriausiasis informacijos saugos pareigūnas (angl. CISO) - atsakingas už informacinių ir ryšių technologijų rizikos ir saugumo rizikos valdymą.

Visos sąvokos, Plane vartojamos vienaskaita, priklausomai nuo konteksto gali būti suprantamos ir kaip naudojamos daugiskaita, ir atvirkščiai.

VEIKLOS RIZIKOS

Verslo tęstinumo plano esmę sudaro šie elementai:

• Svarbiausių veiklos sričių nustatymas;

• Bendrųjų rizikų nustatymas;

• Kiekvienos rizikos poveikio veiklai analizė;

• Esamų kontrolės priemonių nustatymas ir likutinės rizikos nustatymas;

• Reikalingų kontrolės priemonių planavimas.

VEIKLOS TĘSTINUMO TIKSLAI

Bendrovė nustato veiklos tęstinumo tikslus, siekdama užtikrinti kritinių paslaugų prieinamumą ir greitą veiklos atkūrimą sutrikimų atveju.

Kritinėms Bendrovės funkcijoms, ypač mokėjimo inicijavimo paslaugoms (MIP), elektroninių pinigų operacijoms ir susijusioms klientų operacijoms, Bendrovė siekia, kad sutrikimo trukmė būtų kiek įmanoma trumpesnė, o orientacinis atkūrimo tikslas būtų iki 2 valandų. Formalūs atkūrimo tikslai (RTO) atskiroms funkcijoms nustatyti šiame Plane. Šis siekis gali būti nepasiekiamas tais atvejais, kai sutrikimas kyla dėl nuo Bendrovės nepriklausančių priežasčių, pavyzdžiui, trečiųjų šalių infrastruktūros sutrikimų arba nacionalinio masto incidentų.

Kitoms veiklos funkcijoms taikomi atkūrimo tikslai (RTO) ir duomenų atkūrimo tikslai (RPO), kurie nustatomi šiame Plane remiantis poveikio veiklai analize.

Esant reikšmingiems incidentams, Bendrovė gali laikinai apriboti tam tikrų paslaugų funkcionalumą, prioritetizuoti kritinių funkcijų atkūrimą ir taikyti alternatyvius veiklos organizavimo sprendimus.

VEIKLOS SRITYS IR PALAIKANTYS IŠTEKLIAI

Bendrovės yra identifikavusios šias veiklos sritis, kurios patenka į šio Plano apimtį:

• Elektroninių pinigų įstaigos veikla;

• MIP;

• SIP;

• Tarpusavio skolinimo platformos operatoriaus veikla;

• Sutelktinio finansavimo platformos operatoriaus veikla;

• Vartojimo kredito davėjo veikla.

Funkcijas palaiko šie ištekliai ir tiekėjai:

1. MIP / SIP:

[KONFIDENCIALU]

2. Elektroninių pinigų įstaigos veikla / Tarpusavio skolinimo platformos operatoriaus veikla / Vartojimo kredito davėjo veikla:

[KONFIDENCIALU]

3. Sutelktinio finansavimo platformos operatoriaus veikla:

[KONFIDENCIALU]

RIZIKOS SCENARIJAI

Bendrovės yra identifikavusios ir vertina šias bendrąsias rizikas, kurios gali daryti neigiamą poveikį veiklos tęstinumui:

• Geopolitinė rizika

• Gamtos stichijos

• Duomenų centro gedimas / netektis

  • Duomenų centro gedimas gali būti susijęs su kibernetinėmis atakomis, kenkėjiška veikla, DDoS atakomis ir pan.

• Duomenų perdavimo sutrikimai

  • Duomenų perdavimo sutrikimai gali būti susiję su masiniais gedimais, kurie paliestų ne tik Bendrovę, bet ir sukeltų didesnį poveikį. Tai taip pat gali būti susiję su ryšio tiekėjų sutrikimais, DDoS atakomis.

• Elektros tiekimo nutraukimas

• Personalo netektis

• Įrangos netektis arba gedimas

• NeoPay sistemos netektis

  • Sistemos netektis gali įvykti dėl daugelio scenarijų, įskaitant kibernetines atakas, rizikas, gedimus ir pan.

• Paskolų Klubas sistemos netektis

  • Sistemos netektis gali įvykti dėl daugelio scenarijų, įskaitant kibernetines atakas, rizikas, gedimus ir pan.

• Finomark sistemos netektis

  • Sistemos netektis gali įvykti dėl daugelio scenarijų, įskaitant kibernetines atakas, rizikas, gedimus ir pan.

• NeoPay sistemos programavimo klaida – gedimas

• Paskolų Klubas sistemos programavimo klaida – gedimas

• Finomark sistemos programavimo klaida – gedimas

• Biuro patalpų neprieinamumas

• NeoPay duomenų bazės netektis

  • Duomenų bazės netektis gali įvykti dėl daugelio scenarijų, įskaitant kibernetines atakas, rizikas, gedimus kenkėjišką veiklą ir pan.

• Paskolų Klubas duomenų bazės netektis

  • Duomenų bazės netektis gali įvykti dėl daugelio scenarijų, įskaitant kibernetines atakas, rizikas, gedimus kenkėjišką veiklą ir pan.

• Finomark duomenų bazės netektis

  • Duomenų bazės netektis gali įvykti dėl daugelio scenarijų, įskaitant kibernetines atakas, rizikas, gedimus kenkėjišką veiklą ir pan.

• AML tiekėjo sutrikimai

• KYC / KYB tiekėjo sutrikimai

• Kitų kritinių paslaugų teikėjų sutrikimai arba pasitraukimas

POVEIKIO VEIKLAI ANALIZĖS METODOLOGIJA

Bendrovių veiklos tęstinumo planavimas grindžiamas galimo rizikos scenarijaus poveikio Bendrovių verslo procesams vertinimu ir jo analize. Verslo procesai turi būti vertinami pagal:

• Galimos grėsmės poveikį finansams ir reputacijai.

• Verslo procesų kritiškumą, atsižvelgiant į poveikio vertes atitinkamo verslo proceso užtikrinimui.

• Atkūrimo laikotarpį (angl. Recovery Time Objective - RTO) ir ilgiausio laikotarpio, per kurį dėl incidento duomenų praradimas laikomas priimtinu (angl. Recovery Point Objective - RPO), nustatomą IT sistemoms ir duomenims, būtiniems verslo procesų palaikymui.

• Dabartinį Bendrovių pasirengimą veikti nenumatytomis aplinkybėmis.

• Organizacinius ir technologinius reikalavimus Bendrovių veiklai ir informacinių technologijų veiklai atkurti.

• Toliau apibrėžtą verslo procesų kritiškumo vertinimo metodiką.

1, 2 lentelės. Verslo procesų poveikio klasifikavimo vertės (kokybinės ir kiekybinės):

3. lentelė. Proceso kritiškumo vertė apskaičiuojama sudauginus poveikio ir tikimybės vertes. Proceso kritiškumo balai (kiekybiniai ir kokybiniai):

L vertė yra 1; ML vertė yra 2; MH vertė yra 3; H vertė yra 4. Pvz. L x H yra 1 x 4 = 4.

Šiame Plane toliau naudojami šie sutrumpinimai: L – žemas, ML – vidutiniškai žemas, MH – vidutiniškai aukštas, H – aukštas.

POVEIKIO VEIKLAI ANALIZĖ

ATKŪRIMO TIKSLAI

Šiame skyriuje pateikti atkūrimo laiko tikslai (RTO) ir duomenų atkūrimo tikslai (RPO) nustatyti remiantis poveikio veiklai analize. RTO ir RPO nustatomi atskirai kiekvienam verslo procesui ir atspindi maksimalų priimtiną paslaugos atkūrimo laiką bei duomenų praradimą. Kritinių funkcijų atkūrimas visais atvejais yra prioritetinis, siekiant sumažinti poveikį klientams, finansinėms operacijoms ir reguliaciniams įsipareigojimams.

Kritinėms funkcijoms Bendrovė taiko ambicingesnį veiklos tęstinumo siekį, tačiau formalūs RTO atspindi maksimalų priimtiną atkūrimo laiką pagal technines ir organizacines atkūrimo galimybes.

Atkūrimo laiko tikslai (RTO) ir atkūrimo taško tikslai (RPO) atitinkamiems verslo procesams apibrėžiami toliau pateiktoje lentelėje:

Aplinkybės ir situacijos, susijusios su Bendrovių veiklos rizikų atsiradimu, jų tikimybe, turi būti nuolat analizuojamos, siekiant užtikrinti Bendrovių veiklos tęstinumą.

VEIKLOS TĘSTINUMO PLANO AKTYVAVIMAS IR ESKALAVIMAS

Šiame skyriuje nustatoma veiklos tęstinumo plano (toliau – Planas) aktyvavimo, incidentų klasifikavimo ir eskalavimo tvarka.

Incidentų klasifikavimas

Visi incidentai klasifikuojami pagal jų poveikį Bendrovės veiklai:

1. Žemo lygio incidentas (Low):

Incidentas, neturintis reikšmingo poveikio paslaugų teikimui, finansiniams rezultatams ar klientams. Valdomas operaciniame lygmenyje.

2. Vidutinio lygio incidentas (Medium):

Incidentas, turintis ribotą poveikį vienai ar kelioms sistemoms ar procesams, tačiau nepažeidžiantis esminių veiklos tęstinumo tikslų (RTO/RPO).

3. Didelio lygio incidentas (Major):

Incidentas, kuris:

• gali pažeisti nustatytus RTO arba RPO;

• turi reikšmingą poveikį klientams ar paslaugų prieinamumui;

• gali sukelti reguliacines ar reputacines pasekmes.

4. Krizė (Crisis):
   Incidentas laikomas krize, jei:

• veikla negali būti atkurta per nustatytą RTO;

• prarandami ar pažeidžiami kritiniai duomenys;

• kritinių funkcijų sutrikimas viršija tikslinį 2 valandų laikotarpį arba yra pagrįsta rizika, kad šis laikotarpis bus viršytas;

• tenkinami kriterijai pranešti Lietuvos bankas apie didelį operacinį ar saugumo incidentą (MOSRI).

Plano aktyvavimo kriterijai

Planas aktyvuojamas, kai:

• incidentas klasifikuojamas kaip Major arba Crisis;

• yra rizika viršyti RTO/RPO;

• sutrinka kritinių sistemų (NeoPay, Paskolų klubas, Finomark) veikimas;

• įvyksta kritinio tiekėjo sutrikimas (pvz., KYC/AML, infrastruktūra);

• inicijuojamas Bendrovių krizių valdymo komitetas.

Atsakomybės ir sprendimų priėmimas

• Sprendimą dėl Plano aktyvavimo priima Administracijos vadovas arba jo įgaliotas asmuo.

• Techninę eskalaciją inicijuoja IT arba produkto atsakingi asmenys.

• Informacijos saugos aspektus vertina CISO.

• Krizės atveju aktyvuojamas Bendrovių krizių valdymo komitetas.

Eskalavimo seka

1. Incidento identifikavimas

2. Pirminis įvertinimas (IT / procesų savininkas)

3. Klasifikavimas (Low / Medium / Major / Crisis)

4. Informavimas Administracijos vadovui

5. Sprendimas dėl Plano aktyvavimo

6. Bendrovių krizių valdymo komiteto sušaukimas (jei taikoma)

7. Veiksmų pagal Planą vykdymas

VEIKLOS TĘSTINUMO PROCEDŪROS PAGAL SCENARIJUS

1. Kritinės sistemos neveikimas (NeoPay / Paskolų klubas / Finomark)

Aktyvavimo kriterijai:

• sistema nepasiekiama ilgiau nei 15 minučių;

• sutrinka klientų operacijos;

• kyla rizika viršyti nustatytą RTO.

Atsakingi asmenys:

• IT vadovas arba atsakingas inžinierius;

• produkto vadovas;

• CISO, jei nustatomi informacijos saugumo incidento požymiai.

Veiksmai:

• identifikuojama sutrikimo priežastis (aplikacija, infrastruktūra, tiekėjas);

• patikrinamos monitoringo sistemos ir žurnalai;

• informuojamas Administracijos vadovas;

• prireikus sustabdomos paveiktos operacijos, jei kyla duomenų vientisumo rizika;

• inicijuojamas sistemos atkūrimas arba failover, jei tai taikoma;

• įvertinamas poveikis klientams ir operacijoms;

• parengiama vidinė komunikacija.

Alternatyvi veikla:

• laikinai stabdomas naujų operacijų inicijavimas;

• vykdomos tik saugios ir patvirtintos operacijos, jei tai techniškai įmanoma;

• klientų aptarnavimo funkcija informuojama apie sutrikimą.

Komunikacija:

• vidinė komunikacija vykdoma nedelsiant visiems susijusiems padaliniams;

• klientai informuojami, jei sutrikimas trunka ilgiau nei 30 minučių;

• Lietuvos bankas informuojamas, jei tenkinami MOSRI kriterijai.

Atkūrimo tikslas:

• sistema atkuriama per nustatytą RTO;

• duomenų vientisumas užtikrinamas pagal nustatytą RPO.

2. Duomenų bazės praradimas arba pažeidimas

Aktyvavimo kriterijai:

• prarasti arba pažeisti kritiniai duomenys;

• neįmanoma vykdyti operacijų;

• kyla rizika pažeisti nustatytą RPO.

Atsakingi asmenys:

• IT vadovas;

• duomenų bazių administratorius;

• CISO.

Veiksmai:

• izoliuojama pažeista sistema;

• sustabdomi visi duomenų keitimo (rašymo) procesai;

• nustatomas pažeidimo mastas ir pobūdis;

• informuojamas Administracijos vadovas;

• inicijuojamas duomenų atkūrimas iš atsarginių kopijų;

• patikrinamas atsarginių kopijų integralumas;

• nustatomas tinkamiausias atkūrimo taškas.

Alternatyvi veikla:

• operacijos stabdomos iki duomenų atkūrimo;

• gali būti ribojama klientų prieiga prie paskyrų ir funkcijų.

Komunikacija:

• nedelsiant informuojamas CISO;

• vertinama pareiga pranešti Valstybinei duomenų apsaugos inspekcijai;

• klientai informuojami, jei paveikti jų duomenys.

Atkūrimo tikslas:

• duomenys atkuriami pagal nustatytą RPO;

• sistema pilnai atkuriama per nustatytą RTO.

3. Kritinio tiekėjo (KYC / AML / infrastruktūra) sutrikimas

Aktyvavimo kriterijai:

• tiekėjo paslaugos neprieinamos ilgiau nei 30 minučių;

• neįmanoma vykdyti KYC, AML ar kitų kritinių operacijų;

• sutrikimas turi poveikį klientams arba paslaugų teikimui.

Atsakingi asmenys:

• tiekėjų valdymo atsakingas asmuo;

• IT arba produkto vadovas;

• CISO, jei sutrikimas susijęs su saugumo rizikomis.

Veiksmai:

• susisiekiama su tiekėju ir nustatoma sutrikimo priežastis;

• įvertinamas SLA pažeidimas ir numatomas atkūrimo laikas;

• aktyvuojamas alternatyvus tiekėjas, jei toks yra;

• ribojamos paveiktos funkcijos (pvz., naujų klientų registracija);

• įvertinamas poveikis veiklai ir klientams.

Alternatyvi veikla:

• laikinai stabdomas naujų klientų priėmimas;

• vykdomos tik esamų klientų operacijos, jei tai leidžia kontrolės priemonės.

Komunikacija:

• vidinė komunikacija apie funkcijų apribojimus;

• klientai informuojami, jei sutrikimas trunka ilgiau nei 1 valandą;

• reguliatorius informuojamas, jei sutrikimas laikomas reikšmingu.

Atkūrimo tikslas:

• paslaugos atkuriamos per tiekėjo SLA nustatytą laiką arba naudojant alternatyvų sprendimą.

4. Biuro patalpų neprieinamumas

Aktyvavimo kriterijai:

• darbuotojai negali patekti į patalpas;

• fizinė darbo aplinka tampa neprieinama.

Atsakingi asmenys:

• Administracijos vadovas;

• IT vadovas;

• Personalo funkcija.

Veiksmai:

• aktyvuojamas nuotolinio darbo režimas;

• užtikrinama prieiga prie sistemų per saugius kanalus (VPN, MFA);

• patikrinamas kritinių funkcijų prieinamumas ir darbuotojų pasirengimas dirbti nuotoliniu būdu.

Alternatyvi veikla:

• visos funkcijos vykdomos nuotoliniu būdu;

• fizinės operacijos (jei taikoma) laikinai stabdomos.

Komunikacija:

• darbuotojai nedelsiant informuojami apie darbo organizavimo pokyčius;

• tiekėjai ir klientai informuojami, jei situacija turi įtakos paslaugų teikimui;

• Administracijos vadovas sprendžia dėl papildomos išorinės komunikacijos poreikio.

Atkūrimo tikslas:

• veikla tęsiama be reikšmingo sutrikimo;

• užtikrinamas kritinių funkcijų nepertraukiamumas.

VERSLO TĘSTINUMO KULTŪRA

Bendrovių veiklos tęstinumo planavimo tikslas – užkirsti kelią Bendrovių veiklos nutraukimui, išvengti ar sumažinti nuostolių, atsiradusių dėl galimų verslo sutrikimų, dydį ir kuo greičiau ir maksimaliai efektyviai atkurti Bendrovių veiklą po incidento ar krizės. Bendrovės siekia:

• Apsaugoti žmonių sveikatą ir gyvybę bei užtikrinti paslaugų tęstinumą;

• Prognozuoti galimus incidentus, krizes ir ekstremalias situacijas ir įvertinti jų poveikį Bendrovių veiklai;

• Nustatyti galimų incidentų ir krizių prevencijos priemones, veiklos tęstinumą užtikrinančias priemones ir tinkamai planuoti įmonės infrastruktūrą;

• Nustatyti alternatyvių procesų valdymo principus;

• Užtikrinti greitą reagavimą incidento ir krizės atveju ir iki minimumo sumažinti jų poveikį Bendrovėms ir klientams;

• Užtikrinti efektyvų dalijimąsi informacija Bendrovėse, su klientais, visuomene, pagrindiniais paslaugų teikėjais ir Lietuvos banku.

KRIZIŲ VALDYMAS

Krizinių situacijų valdymo tikslas – apibrėžti Bendrovių krizių valdymo ir komunikacijos veiksmus, reikalingus nedelsiant reaguoti į krizines situacijas, valdyti Bendrovių reputaciją, taip pat greitai ir efektyviai atkurti Bendrovių procesų funkcionalumą. Krizių valdymas eskaluojamas, kai incidentas klasifikuojamas kaip krizė pagal šiame Plane nustatytus aktyvavimo ir eskalavimo kriterijus, ypač kai kyla rizika viršyti nustatytus RTO ar RPO, prarandami arba pažeidžiami kritiniai duomenys, sutrinka kritinių funkcijų teikimas arba atsiranda reikšmingas reguliacinis, finansinis ar reputacinis poveikis.

Kadangi krizė kelia didelę grėsmę Bendrovių reputacijai ir įsipareigojimams klientams ir kitoms trečiosioms šalims, darbuotojai turi būti pasirengę reaguoti greitai. Siekiant sumažinti krizės poveikį, parengiamas aiškus komunikacijos planas ir alternatyvus Bendrovių veiklos organizavimas.

Bendrovės parengė šį planą, kad išspręstų neatidėliotinus atsakui į krizę reikalavimus, kai reikia imtis specialių priemonių:

• saugoti Bendrovių reputaciją / viešąjį įvaizdį;

• sukurti veiksmingą reagavimo į krizes komandą, įskaitant išorės patarėjus;

• valdyti tiesioginius pranešimus ir informaciją apie alternatyvios Bendrovių veiklos organizavimą;

• efektyviai valdyti Bendrovių išteklius krizinėje situacijoje;

• imtis priemonių, kad kuo greičiau būtų galima atkurti Bendrovių veiklą.

Apie incidentą, kuris sukelia krizę, Verslo procesų savininkas turi pranešti Administracijos vadovui ir Bendrovių krizių valdymo komitetui.

Bendrovių krizių valdymo komitetas rengia neatidėliotinus posėdžius krizei įvertinti ir klasifikuoti, bendram reagavimui į krizę valdyti, priimti sprendimą dėl papildomų išteklių gavimo ir patvirtinti komunikacijos planą.

Reagavimo į krizę komandą gali sudaryti viešųjų ryšių agentūra bei tiekėjai, kuriems perduotos vykdyti veiklos funkcijos.

Priklausomai nuo krizės tipo, priskiriamos papildomos funkcinės atsakomybės:

Bendrovių krizių valdymo komitetas peržiūri paveiktas Bendrovės veiklos sritis, įvertina atsakingų funkcijų pasiūlymus ir patvirtina veiksmų seką.

Pagal krizės tipą turėtų būti priimtas sprendimas dėl alternatyvių Bendrovių veiklos organizavimo būdų.

Turi būti peržiūrimas visų galimų sudedamųjų dalių, kurios turi būti sprendžiamos krizės metu, sąrašas.

KOMUNIKACIJOS ATSAKOMYBĖS

Komunikacijos prioritetai ir atsakomybės yra tokie:

• Kiekvienas darbuotojas - praneša savo tiesioginiam vadovui apie situaciją, pastebėtus sutrikimus. Darbuotojams draudžiama plačiau komunikuoti.

• Skyriaus vadovai - komunikuoja su administracijos vadovu, administracijos vadovo pavaduotoju, pavaldžiu tiekėju, aiškinasi situaciją su kitų skyrių vadovais. Taip pat, esant poreikiui organizuoja alternatyvų skyriaus darbą, krizės sąlygomis.

• Administracijos vadovas ar jo įgaliotas pavaduotojas - komunikuoja su valdyba, išoriniais tiekėjais, valdo išorinę komunikaciją, koordinuoja komunikaciją su reguliatoriumi.

• Marketingo ir komunikacijos skyriaus vadovas (Paskolų klube) / Komercijos vadovas (NeoPay) / Direktorius (Finomark) - komunikuoja su paveiktais klientais pagal administracijos vadovo ar jo įgalioto pavaduotojo nurodymus.

• Teisės skyriaus vadovas - komunikuoja su reguliatoriumi, padeda administracijos vadovui ir/ar jo įgaliotam pavaduotojui priimti sprendimą.

• CISO - pataria administracijos vadovui ir/ar jo įgaliotam pavaduotojui, konsultuoja problemos sprendimo ir sutrikimų šalinimo klausimais.

• Bendrovės valdyba - yra informuojama apie krizę, sprendimus, komunikaciją.

KOMUNIKACIJA SU LIETUVOS BANKU

Lietuvos Bankas yra informuojamas, jeigu yra pasiekiamos šioje lentelėje esančios sutrikimo reikšmės.

ALTERNATYVIOS BENDROVIŲ VEIKLOS ORGANIZAVIMAS

Tais atvejais, kai veiklos tęstinumas esamose Bendrovių patalpose yra laikinai neįmanomas, tačiau bus atkurtas, situacijai spręsti naudojamos šios priemonės:

• Jeigu veiklos susigrąžinimo laikotarpis yra trumpas, t. y. iki 48 valandų, netikslinga skirti lėšų daliniam ar visiškam operacijų perdavimui į alternatyvią infrastruktūrą;

• Tuo atveju, kai esamos patalpos negali būti naudojamos, darbuotojai dirba iš namų.

SUTRIKIMŲ REGISTRAVIMAS IR ATASKAITŲ TEIKIMAS

Visi incidentai turi būti registruojami Bendrovių operacinės ar saugumo rizikos įvykių (incidentų) registre. Darbuotojų veiksmai pranešant apie incidentus, atsitiktines ekstremalias situacijas ir krizes, atkuriant veiklos tęstinumą:

• Incidentų atveju – pranešimo veiksmus atlieka proceso savininkas. Apie sutrikimus pranešama visiems IS naudotojams ir IT projektų vadovui (Paskolų klubas); Produkto vadovui (NeoPay) / Direktoriui (Finomark);

• Informaciją apie didelį su mokėjimo paslaugų teikimu susijusį operacinį ar saugumo rizikos incidentą teikiama Administracijos vadovo sprendimu pagal KOMUNIKACIJA SU LIETUVOS BANKU parametrus, naudojant REGATA platformą - https://regata.lb.lt/ .

• Apie incidentus, susijusius su informacijos saugumu, turi būti informuotas CISO.

VEIKLOS TĘSTINUMO PLANO VERTINIMAS IR NUOLATINIS TOBULINIMAS

Kontrolės priemonių, komunikacijos ir kompetencijų veiksmingumas peržiūrimas kartą per metus atliekant plano testavimus. Testavimuose dalyvauja atsakingi darbuotojai, tiekėjai. Testavimo scenarijų organizuoja CISO su Administracijos vadovu ar jo įgaliotu pavaduotoju.

Atliekant testavimus, reikėtų įvertinti komunikacijos efektyvumą, galimybę laiku ir efektyviai koordinuoti veiklą, turimus įrankius ir kompetencijas, ar veiklos procesai ir palaikantys ištekliai gali būti atstatyti per plane numatytą laiką (RTO/RPO).

Vertinimo rezultatai turėtų būti dokumentuojami. Trūkumai turi būti aprašyti kuo konkrečiau, kad prireikus būtų įtraukti sisteminiai patobulinimai. Identifikuotų trūkumų šalinimas turi būti reguliariai stebimas.

Verslo tęstinumo planas turėtų būti tikrinamas bent kartą per metus.

CISO yra atsakingas už veiklos tęstinumo plano rengimą ir periodinę peržiūrą, taip pat už planų testavimo ir bandymų rezultatų dokumentacijos organizavimą.

Atlikus testavimus CISO, administracijos vadovas ir/ar jo įgaliotas pavaduotojas, skyrių vadovai įvertina testavimą ir pateikia jo rezultatus Valdybai ne vėliau kaip per dvidešimt darbo dienų.

Bendrovė periodiškai testuoja savo gebėjimą atkurti kritines funkcijas per nustatytus laikotarpius ir dokumentuoja testavimo rezultatus.

GALUTINĖS NUOSTATOS

Planas įsigalioja, kai jį patvirtina Bendrovės valdyba.

Planas tikslinamas atsižvelgiant į teisinio reguliavimo pakeitimus, organizacinius pokyčius, tačiau ne rečiau kaip kartą per metus.

Planas kasmet tikrinamas pagal rizikos scenarijus.

Skyrių vadovai supažindinami su Planu.

Bendrovės vadovas yra atsakingas už bendrą plano įgyvendinimą. Plano nuostatos, susijusios su informacinėmis technologijomis, įgyvendinamos ir atitinkamą kontrolę užtikrina skyrių vadovai, nuostatos, susijusios su informacijos saugumu, įgyvendina ir atitinkamą kontrolę užtikrina CISO, su operacine rizika susijusios nuostatos įgyvendinamos, ir atitinkamą kontrolę užtikrina Rizikos pareigūnas.

PRIEDAS NR. 1. BENDROVIŲ KRIZIŲ VALDYMO KOMITETO NARIŲ STRUKTŪRA IR KONTAKTAI

[KONFIDENCIALU]

PRIEDAS NR. 2. SAUGUMO IR KITŲ SPECIALIŲJŲ TARNYBŲ BEI INSTITUCIJŲ, APIE KURIUOS TURI BŪTI PRANEŠTA APIE INCIDENTUS, KONTAKTAI

PRIEDAS NR. 3. PASLAUGŲ TEIKĖJŲ KONTAKTAI, SVARBIAUSI BENDROVĖS VEIKLOS TĘSTINUMUI

[KONFIDENCIALU]