MADDE 40/A – (Ek:RG-5/12/2019-30969)

(1) MTK’lar hizmet ve faaliyetlerinin kesintisiz ve düzenli bir şekilde sürdürülmesini sağlayacak bir teşkilat yapısı içinde faaliyet göstermek zorundadır. MTK’lar; fonksiyonların muhafazasını, faaliyetlerin kurtarılmasını ve yükümlülüklerinin yerine getirilmesini temin edecek ve olağanüstü hallerde yapılması gerekenleri içeren bir iş sürekliliği politikası oluşturup idame ettirir, bu politika çerçevesinde kesinti anındaki tüm işlemlerin geri kazanılmasını, MTK’nın hatasız bir şekilde faaliyetlerine devam etmesini ve takas yükümlülüklerinin planlanarak zamanında yerine getirilmesini hedefleyen bir iş sürekliliği planı hazırlar.

(2) İş sürekliliği planı Yönetim Kurulunca onaylanmalı ve asgari yıllık olarak geçerliliği gözden geçirilmeli ve güncellenmelidir. İş sürekliliği planı, dışarıdan alınan veya dışarıya gördürülen hizmetler de dâhil olmak üzere kritik tüm fonksiyonları tanımlar, takas hizmeti sunulan platformlar, saklama kuruluşları, ödeme sistemleri, çalışılan bankalar ve diğer MTK’lar da dâhil olmak üzere MTK ile etkileşim halindeki ilişkili sistemleri dikkate alır. İş sürekliliği planı kritik fonksiyonların hizmet dışı kalabileceği kabul edilebilir maksimum süreyi belirler. Bu sürenin iki saati aşmaması, gün sonu işlemleri ve ödemelerin her hâlükârda planlanan gün içinde tamamlanması esastır.

(3) MTK kritik fonksiyonlarını tanımlamak ve bu fonksiyonların muhtelif felaket senaryoları altında sürdürülebilirliğini ortaya koymak için iş etki analizleri yapmalıdır. MTK’nın kritik fonksiyonlarının geri kazanılmasında kullanılacak yedek sistemlerin, ana işlem merkezi dışında, farklı bir mahalde kurulacak ikinci bir işlem merkezinde bulunması şarttır. İş sürekliliği politikası ve felaket kurtarma planının testinde kullanılacak senaryolar, birincil ve ikincil merkezler arasında geçişleri de kapsamalıdır.

(4) MTK acil durumlarda harekete geçecek bir kriz yönetim fonksiyonuna sahip olmalıdır. Kriz esnasında dâhili ve harici iletişimin nasıl sağlanacağı, yönetim ve menfaat sahiplerinin kriz süresince nasıl bilgilendirileceği planlanmalıdır. Kriz yönetim fonksiyonu Yönetim Kurulu tarafından izlenmeli ve gözden geçirilmelidir.