REGULATION No 43/2022 OF 02/06/2022 GOVERNING BUSINESS CONTINUITY MANAGEMENT AND OPERATIONAL RESILIENCE FOR REGULATED INSTITUTIONS

Ingingo ya mbere: Icyo aya mabwiriza rusange agamije Article One: Purpose Article premier: Objet Ingingo mabwiriza rusange ya 2: Abarebwa n’aya Ingingo ya mbere: Icyo aya mabwiriza agamije Article One: Purpose Article premier: Objet kunoza Aya mabwiriza rusange agamije guteza imbere, gushyiraho ukudahungabana kw’uburyo bw’imikorere bw’ikigo kigenzurwa mu rwego rwo gukurikirana ko gifite ubushobozi bwo no This regulation aims at promoting, enhancing, and ensuring operational resilience for a regulated institution to ensure that it is able to continue operations on a going concern while minimizing 22 Le présent règlement vise à promouvoir, résilience améliorer assurer et institution opérationnelle réglementée afin de s’assurer qu’elle est en mesure de poursuivre ses opérations en d’une la gukomeza ibikorwa byacyo kigabanya ibihombo mu gihe habayeho ihagarika rikomeye ry’imirimo. losses in the event of major operational disruptions. activité, tout en minimisant les pertes en cas de perturbations opérationnelles majeur. Ingingo mabwiriza ya 2: Abarebwa n’aya

Article 2: Scope Article 2 : Champ d’application Ingingo ya by’amagambo 3: Ibisobanuro Article 2: Scope Article 2 : Champ d’application Aya Mabwiriza rusange akurikizwa mu bigo bigenzurwa. This Regulation applies institutions. to regulated Le présent règlement s'applique à toute institution réglementée. Ingingo ya by’amagambo 3: Ibisobanuro

Article 3: Definitions of terms Article 3 : Définitions des termes Article 3: Definitions of terms Article 3 : Définitions des termes Muri aya mabwiriza rusange, amagambo akurikira asobanura: For the purposes of this Regulation, the following terms and expressions means: Aux fins du présent règlement, les termes et expressions suivants signifient : 1º Ikigo kigenzurwa: gukora ikigo cyemerewe kandi kigenzurwa kigenzurwa n’ Urwego rw’Ubugenzuzi; 1º a regulated institution: any financial institution licensed and supervised by the Supervisory Authority; 2º inama inama y’ubutegetsi: y’ubutegetsi n’inama y’abacunga z’ibigo iby’abandi b’umwuga bigenzurwa; 2º board of directors: board of directors and board of trustees for regulated institutions; 3º imicungire y’ikomeza ry’imirimo: uburyo bwo kubona imirimo muri rusange bukubiyemo politiki, ibigenderwaho, ingamba ibikorwa n’ibikurikizwa bituma runaka gukorwa cyangwa bigasubizwa ku murongo bikomeza 3º business continuity management a whole-of-business (BCM): approach that includes policies, and standards, that procedures specific be operations maintained or recovered in a timely frameworks for ensuring can 23 1° Une institution règlementée: toute institution agrée et supervisée par l’Autorité de contrôle ; 2° conseil d'administration: conseil d'administration et conseil des institutions fiduciaires pour réglementées ; les 3° gestion de la continuité des activités (BCM): approche globale qui comprend des politiques, des normes, des cadres et des procédures pour assurer que les opérations spécifiques peuvent être maintenues ou recouvrées en temps opportun en gikwiye iyo hari mu gihe Iyi micungire icyabihagaritse. ibyateza kugabanya igamije n’ibikorwa, zijyanye ingaruka n’imari, n’isura n’amategeko, by’ikigo ndetse n’izindi ngaruka zigaragara zituruka ku ihagarara ; 4º gahunda y’ikomeza ry’imirimo y’ibikorwa (BCP): gahunda yuzuye kandi yanditse igaragaza uburyo bukoreshwa kugira ngo ibikorwa by’ikigo kigenzurwa byongere cyangwa bikomeze habayeho gukora mu gihe ihungabana kandi ikanashyiraho inzira n’uburyo bikenewe kugira ngo bikorwe; kigenzurwa 5º ikomeza ry’imirimo: ubushobozi bw’ikigo bwo gukomeza imirimo y’ingenzi ku rugero runaka rwateganyijwe mu gihe habaye ikibazo kiyikoma mu nkokora; 6º isesengura ry’ingaruka ku (BIA): uburyo bwo mirimo kugaragaza no gupima (mu ngano no mu ireme) imirimo na serivisi by’ingenzi, ubushobozi bw’ingenzi bw’imbere mu kigo n’ubuva hanze n’urugero rw’ubudahungabanywa fashion in the event of disruption and whose purpose is to minimize the operational, financial, legal, reputational and other material risks arising from disruption; les cas de perturbation. Son but est de risques minimiser opérationnelles, financières, juridiques, de réputation et d’autres risques matérielles résultant d’une interruption ; 4º business continuity plan (BCP): a comprehensive and documented that sets out plan of action procedures and establishes the processes and systems necessary to continue the operations of a regulated institution in the event of a disruption; restore and/or qui 4° plan de continuité des activités (BCP): un plan d’action complet et documenté les procédures et établit les procédés et pour systèmes poursuivre le fonctionnement d’une organisation en cas de perturbation ; nécessaires ou rétablir définit regulated 5º business continuity: the capability to its critical levels of a continue delivering activities to pre-defined during a disruptive incident; institution institution 5° continuité des activités: la capacité d'une réglementée à continuer à exercer ses activités critiques à des niveaux prédéfinis lors d'un incident perturbateur ; 6º business impact analysis (BIA): the process of identifying and measuring and qualitatively) critical operations internal and and services, key and external levels. It appropriate resilience (quantitatively dependencies 24 6° analyse d’impact sur les activités (BIA): le processus d'identification et d’évaluation (quantitativement et qualitativement) des opérations et principales services dépendances internes et externes et résilience des clés, des niveaux de bukwiye. Hasuzumwa ingorane n’ingaruka zishobora kuba zitewe n’ihagarika ry’imirimo mu buryo ku butandukanye byakwangirika kigo kigenzurwa ku rwego rw’imari, rw’amabwiriza n’amategeko ndetse n’isura by’ikigo ; hashingiwe mu 7º itsinda rishinzwe imicungire y’amage: rigizwe itsinda n’abayobozi bakuru ba ngombwa, abafatanyabikorwa b’ingenzi (ni ukuvuga uhagarariye itangazamakuru, umujyanama mu mategeko, ushinzwe ibikoresho, umuhuzabikorwa mu bikorwa byo gutabara n’abandi) n’abashinzwe imirimo y’ikigo y’ingenzi bashinzwe ibikorwa byo kuzahura imirimo mu gihe cy’amage; 8º amage: ikintu cyose cyabaho bikagira ingaruka ku mirimo, ku bakozi, gaciro ku k’abanyamigabane, k’abafatanyabikorwa, ku kirango cy’ibicuruzwa, ku isura y’ikigo, ku cyizere cyangwa/ndetse no ku ngamba cyangwa intego by’ikigo kigenzurwa ; assesses the risks and potential impact of various disruption scenarios on a regulated institution financial, regulatory, legal and reputational damage basis; de potentiel appropriés. Elle évalue les risques et divers l'impact scénarios de perturbation sur le plan des financiers, réglementaires, légaux et sur le plan des dommages liés à la réputation d’une institution réglementée; dommages 7º crisis management team: a team consisting of key executives, key (i.e., media role players legal counsel, representative, facilities disaster manager, recovery coordinator, etc.), and the appropriate business owners of are critical responsible for recovery operations during a crisis; functions who 7° équipe de gestion de crise: une équipe composée des principaux dirigeants, des acteurs clés (c’est-à- représentants des médias, dire conseillers juridiques, gestionnaires des installations, coordinateur de la reprise des activités après désastre , etc), et les propriétaires réels des fonctions clés de l’organisation qui sont responsables de la reprise des opérations au cours d’une crise ; threatens 8º crisis: an event, occurrence and/or the that perception operations, staff, shareholder value, stakeholders, brand, reputation, trust and/or strategic/business goals of a regulated institution; 8° crise: un événement, incident et / ou les une perception qui menace opérations, le personnel, la valeur des parties prenantes , la marque, la réputation, la confiance et/ ou les objectifs stratégiques/commerciaux d’une institution réglementée; actionnaires, les 9º ibikorwa by’ingenzi: imirimo, 9º critical business operations: the 9° opérations des activités 25 ingaruka ibikoresho n’ibikorwaremezo bishobora, mu gihe bihagaritswe, kugira ikomeye ku mirimo y’ikigo kigenzurwa, isura yacyo, zacyo, inyungu cyangwa abakibitsamo abishingiwe n”abandi bafatanyabikorwa; that may, business functions, resources and if infrastructure disrupted, have a material impact on a regulated institution’s business functions, reputation, profitability, depositors and/or policyholders and other stakeholders; les essentielles: fonctions commerciales, les ressources et les infrastructures qui, si elles sont perturbées, peuvent avoir un impact fonctions important la la commerciales, rentabilité, les déposants et/ou les assurés et les autres les parties prenantes institution d'une réglementée ; les réputation, sur 10º serivisi z’ingenzi: igikorwa cyose, umurimo, akazi cyangwa serivisi yabura bikagira ingaruka zikomeye ku mikomereze y’imirimo y’ikigo kigenzurwa; 10º critical services: any activity, function, process or service, the loss of which would be material to the continued operation of a regulated institution; 10° services essentiels: toute activité, fonction, processus ou service dont la perte serait importante pour la continuité des opérations d’une institution réglementée; 11º ahantu hagenewe gihe isubukurabikorwa mu cy’ibiza: ahantu hateganyijwe gukoreshwa mu gihe habaye ihagarika rikomeye ry’imirimo ku buryo imirimo y’ikigo kigenzurwa ikomeza 11º disaster recovery site: a site held in readiness for use in the event of a major disruption that maintains a regulated business institution continuity; 11° site de reprise d’activités en cas de désastre: un site tenu prêt à l'emploi en cas de perturbation majeure qui assure la continuité des activités d'une institution réglementée ; 12º ikiza: impanuka ikomeye ibayeho ku buryo butunguranye kandi itateganyijwe igatuma Ikigo kibura ubushobozi bwo gukora imirimo, uburyo na serivisi bya ngombwa mu gihe runaka kitifuzwa igateza igihombo kitifujwe; event 12º disaster: a sudden, unplanned that catastrophic compromises an organization´s ability to provide critical functions, processes, or services for some unacceptable period of time, causing unacceptable damage or 12° désastre : événement catastrophique soudain et imprévu qui compromet la capacité d’une organisation à fournir les fonctions, procédés ou services essentiels pendant une certaine période de inacceptable, causant des temps 26 ibijyanye 13º gahunda y’ingoboka yihutirwa: ibikorwa bigomba gukorwa nyuma y’uko habaye ikibazo kibangamira ubuzima na/cyangwa imirimo bw’abantu kandi bigomba kuba n’imicungire birimo y’imikoranire n’ababagana n’imikoranire myiza n’abayobozi b’inzego za Leta bireba. Urugero: polisi, abakora muri serivisi yo serivisi kurwanya z’ubuzima, n’abayobozi b’inzego z’ibanze ; inkongi, loss; dommages ou perte inacceptables; which 13º emergency procedures: a set of actions to be taken following an incident jeopardizes business operations and/ or human life and which should include arrangements for public relations management and for effective liaison with appropriate public authorities e.g. police, fire service, health-care services and local government; 13° procédures d’urgence : les actions à entreprendre suite à un incident compromettant les activités et / ou la vie humaine et qui devraient inclure des dispositions pour la gestion des relations publiques et une liaison efficace avec les autorités publiques concernées, par exemple, la police, les services d’incendie, les services de santé et les autorités locales ; 14º itsindary’imbangukiragutabara: ikigo icyo ari cyo cyose gishinzwe gutabara gihe (nk’ishami ibiza habayeho rirwanya inkongi, serivisi za polisi, ibitaro); rubanda mu 14º emergency response team: any organization that is responsible for the responding fire general population brigades, services, police hospitals); to (e.g. to hazards 14° équipe d’intervention d’urgence: tout organisme chargé de répondre aux dangers pour la population en général (par exemple les pompiers, les services de police, les hôpitaux); 15º imyitozo: uburyo bwo gusuzuma no kwitoza gahunda z’ikomeza ry’imirimo ahantu hagenzurwa hakoreshejwe abagize itsinda n’abakozi; bikorewe 15º exercising: the process through which business continuity plans are tested, rehearsed in a controlled environment using team members and staff; 15° exercice: le processus par lequel les plans de continuité des activités sont testés, un environnement contrôlé en utilisant le les membres de personnel; l’équipe et répétés dans 16º Iyangirizwa : kutanyurwa guterwa na serivisi mbi ikigo kigenzurwa cyangwa, ku giha abakigana 16º harm: dissatisfaction caused by poor regulated service of a institution to customers or, on the 16° dommage: insatisfaction causée par le mauvais service d'une institution réglementée aux clients ou, du côté 27 isoko, rw’abitabira ruhande n’ihagarika ziterwa ingorane rikomeye ry’imirimo bigatuma urwego rw’imari rudakora neza bikaba byanatuma abantu batera isoko ndetse bikaba icyizere byanatera ihungabana rikomeye ry’imirimo yarwo; side of market participants, risks that major operational disruptions pose to the smooth operating of financial markets and the potential threat to market confidence that can result from a substantial disruption; les des participants au marché, risques perturbations que opérationnelles majeures posent au bon fonctionnement des marchés financiers et menace potentielle pour la confiance du marché qui peut résulter d'une perturbation grave ; 17º kwihanganira ubushobozi kwihanganira ry’imirimo, ihagarika rishobora kubaho; rya bw’ikigo ingaruka: bwo ihagarika ko runaka hateganyijwe serivisi 18º imicungire y’ikibazo: uburyo bwo kumenya ikibazo, kugisesengura, kugikosora no kucyigiraho ndetse no kwirinda ko cyongera kubaho ubukana kugabanya cyangwa bwacyo; 19º ikibazo: ibintu biriho cyangwa byabayeho bihagarika imirimo ku buryo bifite cyangwa byagize ku mirimo ingaruka mbi y’ikigo n’ibikorwa kigenzurwa cyangwa bigatuma abakiriya batagerwaho na serivisi uko byari biteganyijwe; by’ingenzi 17º impact tolerances: institution’s tolerance for disruption, under the assumption that disruption to a particular business service may occur; 17° seuil maximum de perturbation : tolérance de l'institution à l'égard des perturbations, au cas où un service commercial particulier serait perturbé; 18º incident management: the process of identifying, analysing, rectifying and learning from an incident and preventing or mitigating the severity thereof; recurrences 18° gestion des incidents : processus consistant à identifier, analyser, rectifier et tirer les leçons d'un incident et à en prévenir la répétition ou en atténuer la gravité ; 19º incident: current or past disruptive event the occurrence of which would negatively affect or had negatively critical a operations or regulated institution or an expected level of to customer; service delivery services of effected 19° incident: événements perturbateurs actuels ou passés dont la survenance affecterait négativement ou avait affecté les opérations ou services institution d'une essentielles réglementée oula prestation de services au client comme anticipé; 28 ry’imirimo 20º ihagarika rikomeye ry’imirimo: isanzwe ihagarikwa y’ikigo rifite ingaruka zikomeye ku hantu hagari ndetse n’ahahakikije n’abahaturiye kandi imibereho yabo mu bukungu ari ho ishingiye; 20º major operational disruption: a high impact disruption of normal business operations, affecting a large geographic area and adjacent communities that are economically integrated to it; 20° perturbation opérationnelle majeur: une perturbation ayant un impact grave sur les opérations commerciales normales, affectant une vaste zone géographique et les communautés adjacentes qui lui sont économiquement intégrées ; ry’imirimo. bufasha 21º ukudahungabana kw’uburyo ubushobozi bw’imikorere: bw’ikigo kigenzurwa bwo gukora imirimo y’ingenzi mu gihe hari Ubu ihagarika bushobozi ikigo kigenzurwa kumenya no kwirinda ibyagihungabanya, guhangana no n’ihagarika kuryitwaramo neza, ndetse no kwikura muri icyo kibazo no kugikuramo amasomo mu rwego rwo kugabanya ingaruka byagira ku itangwa ry’ imirimo y’ingenzi mu gihe cy’ihagarika ry’imirimo; ry’imirimo 21º operational resilience: the ability of a regulated institution to deliver critical through operations disruption. This ability enables a regulated institution to identify and protect threats and potential failures, respond and adapt to, as well as recover and learn from disruptive events in order to minimize their impact on the delivery of critical operations through disruption; itself from 21° résilience opérationnelle : capacité réglementée à institution d'une mener à bien les opérations essentielles en cas de perturbation. Cette capacité permet à une institution réglementée d'identifier et de se protéger contre les menaces et les défaillances potentielles, de aux réagir événements perturbateurs, ainsi que de s'en remettre et d'en tirer des enseignements afin de minimiser leur impact sur la réalisation des opérations essentielles par le biais de perturbations ; s'adapter de et 22º icyateza ingorane ikintu zerekeye imikorere: cyateza igihombo biturutse ku mikorere y’imbere idahwitse cyangwa mibi, ku bantu n’uburyo cyangwa ku mpamvu ziturutse hanze; 23º kwimura amakuru ku gihe: uburyo bwo gukura amakuru 22º operational risk: the risk of loss from inadequate or failed internal processes, people and systems or from external events; 22° risque opérationnel: le risque de perte provenant des processus internes inadéquats ou défaillants, systèmes ou de personnes et provenant d’événements extérieurs; data replication: regeneration and 23° réplication des données en temps réel: régénération et récupération 23º real-time instantaneous 29 ahantu hagenewe isubukurabikorwa mu gihe cy’ibiza agasubizwa ahakusanyirizwa amakuru mu kigo kigenzurwa nyuma y’ihagarikwa ry’imirimo y’ahakusanyirizwa amakuru mu kigo kigenzurwa; recovery of data from disaster recovery site to the data centre of a regulated a institution disruption in the data centre of a regulated institution; after instantanées des données du site de reprise d’activités en cas de désastre vers le centre de données d'une institution réglementée après une le centre de perturbation dans institution d'une données réglementée ; 24º intego runaka imirimo y’isubukurabikorwa: intego igaragazwa mbere kugira ngo ndetse n’ibikoresho byayo bisubukurwe (urwego ku rw’isubukurabikorwa) mu gihe runaka nyuma y’ihagarikwa (igihe cy’isubukurabikorwa); runaka rwego 25º intego y’igihe ngo bakoresha cy’isubukura bikorwa: igaragaza igihe runaka amakuru agomba kuba yongeye ba kuboneka kugira nyir’ibikorwa ayo makuru bashobore kuyemera. Ibi bifatwa nk’igihe kiri hagati y’igihe amakuru ya nyuma yabikiwe ihagarikabikorwa n’igihe Intego kubaho. ryashoboraga y’igihe cy’isubukurabikorwa ishyirwaho hashingiwe ku kureba igihe cyo cyakwihanganirwa kubura amakuru cyangwa igihe yongeye kubonekera; for recovering 24º recovery objective: a predefined specific goal business operations and supporting systems to a specified level of service (recovery level) within a defined a period disruption (recovery time); following des prédéterminé 24° objectif de la reprise d’activités: de objectif un activités récupération commerciales spécifiques et les systèmes d'appui y relatifs à un niveau de service fixé (niveau de reprise) pendant une période définie après une interruption (temps de reprise); 25º recovery point objective (RPO): a point in time to which data must be restored in order to be acceptable to the owner of the processes supported by that data. This is often thought of as the time between the last available backup and the time a disruption could potentially occur. The RPO is established based on tolerance for loss of data or re- entering of data; 25° Objectif de point de reprise d’activités: un point dans le temps auquel les données doivent être restaurées afin d’être acceptables par le propriétaire des processus qui utilise ces données. Il est souvent considéré comme la période entre la dernière sauvegarde disponible et le moment où une rupture éventuelle pourrait se produire. L’objectif de point de reprise d’activités est établi en fonction de la tolérance de perte de données ou de la réinsertion de données; 30 26º intego y’igihe igihe cy’isubukurabikorwa: gisabwa kugira ngo imirimo runaka isubukurwe. Icyo gihe kigizwe n’ibice bibiri: igihe cyo gushyira mu bikorwa gahunda y’ikomeza ry’imirimo n’igihe cyo gusubukura imirimo; 27º isubukurabikorwa: ibikorwa kongera kubaka by’imirimo runaka kugeza ku gipimo gihagije ryayo ku nyuma y’ihagarikwa buryo ikigo gishobora kurangiza inshingano zacyo zitararangizwa; 28º ahantu hamwe honyine hatuma imirimo ahantu ihagarara: hamwe hatanga serivisi, igikorwa hakorerwa ndetse/cyangwa imirimo hadashobora gusimburwa kandi mu gihe hatariho bigatuma akazi runaka ka ngombwa gapfa. a 26º recovery time objective (RTO): the duration of time required to resume specified business operation. It has two components, the duration of time from activation of the business continuity plan and the business operations; recovery of 26° durée maximale d'interruption admissible (RTO): la durée de temps nécessaire pour reprendre une activité déterminée. Il a deux composantes : la durée du temps d’activation du plan de continuité des activités et la reprise des activités; 27º recovery: the rebuilding of a specific operation business following a disruption to a level to meet outstanding sufficient business obligations; 27° Reprise d’activités: le rétablissement à un niveau suffisant d’une activité spécifique suite à une les pour interruption obligations d’affaires inexécutées; remplir 28º single point of failure: a unique source of a service, activity, and/or process where, is no alternative and whose loss could lead to the failure of a critical function. there 28° point de défaillance unique: une source unique d’un service, d’une activité et/ou d’un processus qui n’a aucune alternative et dont la perte pourrait conduire à l’échec d’une fonction essentielle.

Ingingo ya 4: Imikorere myiza y’ikigo kigenzurwa Article 4: Viability of institution regulated Article 4: Viabilité de réglementée l'institution Ingingo ya 4: Imikorere myiza y’ikigo kigenzurwa Article 4: Viability of institution regulated Article 4 : Viabilité de réglementée l'institution Ikigo kigenzurwa kigomba gukora imirimo n’ubucuruzi byacyo mu buryo burambye, bwizewe kandi butuma butajegajega. institution shall run its A regulated operations and business in a sustainable, safe and sound manner. Une institution réglementée doit mener ses opérations et activités commerciales d’une manière durable, sûre et saine. Kubera ibivugwa mu gika kibanziriza iki, ikigo kigenzurwa kigomba kurinda no For the purpose of preceding paragraph, a regulated institution shall maintain and fins de Aux l’alinéa précédent, une institution réglementée doit maintenir et 31 ukudahungabana kongera kw’uburyo bw’imikorere bwacyo, cyane cyane kugira ngo gihangane n’ibyateza ingorane zivuka muri iki gihe zirimo umutekano w’urusobe rwa mudasobwa. raise its operational resilience, particularly in response to emerging risks including cyber security. renforcer sa résilience opérationnelle, en risques particulier pour émergents y compris la cybersécurité. répondre aux

Ingingo ya 5: Kwangiriza abaguzi n’abagira uruhare mu masoko y’ikigo kigenzurwa Article 5: Harm to consumers and market players of regulated institution 5: aux Article consommateurs et aux acteurs du marché d'une institution réglementée. Dommage UMUTWE WA II: IMICUNGIRE Y’IKOMEZA RY’IMIRIMO CHAPTER CONTINUITY MANAGEMENT II: BUSINESS CHAPITRE II : GESTION DE LA CONTINUITÉ DES ACTIVITÉS Icyiciro y’imicungire y’ikomeza ry’imirimo cya mbere: Imiterere Section One: Business management framework continuity Section première : Cadre de gestion de la continuité des activités Ingingo ya 5: Kwangiriza abaguzi n’abagira uruhare mu masoko y’ikigo kigenzurwa Article 5: Harm to consumers and market players of regulated institution Article 5 : Dommage aux consommateurs et aux acteurs du marché d'une institution réglementée. Ikigo kigenzurwa kigomba kugabanya uko bishoboka kose ukwangirizwa kw’abaguzi no kwangirizwa cyo ubwacyo kwatewe n’ihagarika rikomeye ry’imirimo. Ukubangamirwa ku bigo bigenzurwa n’abandi bagira uruhare mu masoko guterwa rikomeye n’ihagarikwa ry’imirimo harimo: 1º kudakora kwa zihuriweho igikorwaremezo risangiwe; serivisi cyangwa cy’isoko A regulated institution shall minimize harm both to consumers and to itself caused by major operational disruption. Une institution réglementée doit réduire au minimum le dommage causé tant aux consommateurs qu'à elle-même par une perturbation opérationnelle majeure. Harm to regulated institutions and other market participants may rise from major operational disruption and includes: Le dommage causé aux institutions réglementées et aux autres acteurs du marché peut découler de la perturbation opérationnelle majeur et comprend : 1° the failure of a shared facility or market infrastructure; 1º la défaillance d'une facilité ou d'une infrastructure de marché partagée ; 2º kugera ku makuru y’ibanga mu no butagenzuwe buryo kuyakoresha nabi; 2° uncontrolled access to and misuse of market sensitive data; 2º l'accès non contrôlé à des données leur sensibles du marché utilisation abusive ; et 3º kudashobora kubona amakuru y’isoko mu kugena ibiciro ; 3° the inability to access market data 3º l'impossibilité d'accéder for pricing; and 32 données du marché pour tarification ; et aux la 4º kudashobora gutanga serivisi 4° the inability to complete post-sale 4º l'impossibilité de terminer les za nyuma yo kugurisha. activity. activités qui suivent la vente. byangiriza Mu guhungabana: abaguzi harimo Harm to consumers includes disruption to: Le dommage aux consommateurs comprend la perturbation à: 1º muri serivisi z’ubucuruzi zisanzwe 1° ongoing availability of existing zihari; business services; 1° la des disponibilité commerciaux existants; services 2º muri serivisi nshya z’ubucuruzi; 2° supply of new business services; 2° la fourniture de nouveaux services commerciaux; 3º mu bikorwa bituma igicuruzwa 3° availability of a vital link in a value 3° la disponibilité d'un lien vital dans kiboneka; chain; une chaîne de valeur ; 4º kw’umutekano w’amakuru 4° the security of market sensitive 4° la sécurité des données sensibles du y’ibanga arebana n’isoko. data. marché. UMUTWE WA II: IMICUNGIRE Y’IKOMEZA RY’IMIRIMO CHAPTER CONTINUITY MANAGEMENT II: BUSINESS CHAPITRE II : GESTION DE LA CONTINUITÉ DES ACTIVITÉS Icyiciro y’imicungire y’ikomeza ry’imirimo cya mbere: Imiterere Section One: Business management framework continuity Section première : Cadre de gestion de la continuité des activités

Ingingo ya 6: Inshingano yo kugira Article 6: Obligation to have a business Article 6: Obligation de disposer d’une 15 Official Gazette n° 26 of 27/06/2022 imicungire y’ikomeza ry’imirimo continuity management gestion de la continuité des activités Ingingo ya 6: Inshingano yo kugira imicungire y’ikomeza ry’imirimo Article 6: Obligation to have a business continuity management Article 6: Obligation de disposer d’une gestion de la continuité des activités Ikigo kigenzurwa kigomba buri gihe kugira uburyo buhamye bwo gucunga ikomeza ry’imirimo. A regulated institution shall have a strong business continuity management at all time. Une institution réglementée doit en tout temps disposer d’une gestion de la continuité des activités solide. Hashingiwe ku bivugwa mu gika Inama kibanziriza iki cy’iyi ngingo, For the purpose of Paragraph One of this the board of directors of a Article, Aux fins de l’alinéa premier du présent article, le conseil d'administration d'une 33 y’ubutegetsi y’ikigo kigenzurwa igomba: regulated institution shall: institution réglementée doit : 1º kwemeza imicungire y’ikomeza 1° approve a business continuity 1º approuver la gestion de la continuité ry’imirimo; management; des activités ; 2º gutegura y’ikomeza gahunda ry’imirimo ishyira imbere imirimo igena abakozi ndetse y’ibanze, n’ibikenerwa ikora igenzura, yemeza gahunda yo gukomeza isesengura imirimo, ibyavuye mu masuzuma kandi ireba iyubahirizwa rya gahunda iriho; bihagije, 2° perform continuity business critical prioritizing planning business allocating functions, sufficient resources and personnel, providing oversight, approving the business continuity plan, reviewing test ensuring maintenance of the current plan; results and 3º gushyiraho rishinzwe itsinda ikomeza ry’imirimo aho ihitamo ry’abarize rigomba gushingira ku ingano, y’imirimo, miterere urusobe kigenzurwa, ndetse n’aho giherereye; by’ikigo 3° to put in place business continuity team whose members’ selection the nature of should consider activities, size, business complexity, geographical and location of a regulated institution; 4º kugaragaza neza uruhare n’inshingano za buri muntu uri mu itsinda ikomeza rishinzwe ry’imirimo; 4° clearly define the roles and responsibilities for each person involved in business continuity management team; 2º faire la planification de la continuité des activités en donnant priorité aux fonctions essentielles, en affectant des ressources et le personnel la assurant suffisants, supervision, en approuvant le plan de continuité des activités, en évaluant des résultats des tests et en s’assurant du maintien du régime actuel ; en des membres 3º mettre en place une équipe chargée de la continuité des activités dont la sélection est la nature des subordonnée à activités, la taille, la complexité et la localisation géographique d’une institution règlementée ; les 4º définir clairement rôles et responsabilités de chaque personne impliquée dans l'équipe de gestion de la continuité des activités ; 5º gushyiraho itsinda imicungire y’amage; rishinzwe 5° establish a crisis management 5º mettre en place une équipe de team; gestion de crise ; 6º kugaragaza ibikorwa byihutirwa 6° re-prioritize and re-allocate 6º redéfinir les priorités et réaffecter 34 ibindi kurusha kongera kubigenera ibikenewe hagamijwe kwihutisha isubukurabikorwa; no 7º kwishingira no kubazwa ibice bimwe by’umurimo byerekeye ikomeza bihabwa ry’imirimo abandi bantu , mu gihe ikigo kigenzurwa gihisemo kubikora; 8º kugaragaza, gusuzuma no gucunga ibyateza ingorane bishingiye ku imirimo kugira ngo gukomeza ikigo kimenye neza ko gishobora zerekeye inshingano gusohoza imari gifitiye serivisi abakibitsamo, abafatabwishingizi n’abandi kibereyemo umwenda; na n’igenzura 9º gufata ibyateza ingorane ikomeza ry’imirimo ryaryo nk’ibigize uburyo rusange bwo gucunga ingorane no kwemeza politiki y’imicungire y’ikomeza ry’imirimo; ibyateza 10º guhuza n’igihe politiki yo gucunga igaragaza ry’imirimo ikomeza intego zayo n’uburyo ikoresha ku birebana n’imicungire y’ikomeza ry’imirimo; resources recovery; in order to expedite les ressources afin d’accélérer la reprise d’activités; 7° to be responsible and accountable for outsourced portions of the business continuity function, if a regulated institution opts to do so; 8° identify, assess and manage potential business continuity risks to ensure that it is able to meet its financial and service obligations to its depositors, policyholders and other creditors; 7º être responsable et rendre compte la fonction de activités institution des parties de continuité externalisées, si une réglementée choisit de le faire ; des 8º identifier, évaluer et gérer les risques potentiels de continuité des activités afin de s'assurer qu'elle est en mesure de remplir ses obligations financières et de service envers ses déposants, ses assurés et ses autres créanciers ; 9° consider business continuity risks and controls as part of its overall risk management systems and approve a business continuity management policy; 9º considérer et les risques les contrôles de continuité des activités comme faisant partie de son cadre global de gestion des risques et approuver une politique de gestion de la continuité des activités ; 10° up-date business continuity management policy that sets out its objectives and approach in relation to continuity management; business 10º actualiser la politique de gestion de la continuité des activités qui définit ses objectifs et son approche en matière de gestion de la continuité des activités ; 11º gukurikirana ko ibyateza ingorane 11° ensure that the institution’s 11º veiller à ce que les risques et les 35 mu ikomeza ry’imirimo y’ikigo n’igenzura ryaryo byitabwaho mu buryo bw’imicungire y’ibyateza ingorane. rusange business continuity risks and controls are taken into account as part of its overall risk management systems. contrôles de continuité des activités de l'institution soient pris en compte dans le cadre global de gestion des 12º risques. Inama y’ubutegetsi y’ikigo kigenzurwa ishinzwe gucunga ikomeza ry’imirimo, haba mu gihe imirimo ikorwa cyangwa idakorwa n’abandi bantu cyangwa mu rwego rw’itsinda ry’amasosiyete. The board of a regulated institution remains responsible for business continuity management whether or not business operations are outsourced or are part of a corporate group. Conseil d'administration Le d'une institution réglementée reste responsable de la gestion de la continuité des activités, bien que les opérations commerciales soient externalisées ou pas ou qu'elles fassent partie d'un groupe de sociétés.

Ingingo ya 7: Imicungire y’ikomeza ry’imirimo nka kimwe mu bigize imicungire y’ibyateza ingorane Article 7: management management Business part as continuity risk of Article 7: Gestion de la continuité des activités comme partie de la gestion des risques Ingingo ya 7: Imicungire y’ikomeza ry’imirimo nka kimwe mu bigize imicungire y’ibyateza ingorane Article 7: management management Business part as continuity risk of Article 7: Gestion de la continuité des activités comme partie de la gestion des risques Gahunda y’ikomeza ry’imirimo igomba kuba kimwe mu bigize imicungire y’ibyateza ingorane muri rusange mu kigo kigenzurwa kandi ikaba ikubiye mu buryo bw’imikorere yacyo. Business continuity management shall form an integral part of the overall risk management of a regulated institution and shall be embedded in its operations. La continuité des activités doit faire partie de cadre global de gestion des risques d’une institution réglementée et intégrée dans ses opérations. Hashingiwe ku bivugwa mu gika cya mbere cy’iyi ngingo, inama y’ubutegetsi n’ubuyobozi bukuru bikora ku buryo: For the purpose of Paragraph One of this Article, the board of directors and senior management shall ensure that: Aux fins de l’alinéa premier du présent article, le conseil d'administration et la direction s’assurent que: 1° abakozi kandi bahugurwa bamenyeshwa uruhare rwabo mu gushyira mu bikorwa gahunda y’ikomeza ry’imirimo; 1° employees are trained and made aware of the their implementation of the business continuity plan; roles in 1° les employés formés et conscients de rôles dans l’exécution du plan de continuité des activités; sont leurs 2° ibikenewe mu birebana n’abakozi 2° sufficient human and financial 2° des ressources humaines et 36 n’imari biboneka mu gushyigikira imicungire y’ikomeza ry’imirimo; na resources are made available to for business support provide continuity management; and suffisantes financières sont disponibles pour fournir un soutien à la gestion de continuité des activités; et 3° gahunda z’ikomeza ry’imirimo zita ku bijyanye n’ibikorwa na tekiniki ariko ko zinita ku bijyanye no kurinda ubuzima bw’abantu. 3° the business continuity plans not only consider the business process and technical aspects, but also recognize the protection of human life. 3° les plans de continuité tiennent compte non seulement des processus d’activités et des aspects techniques, mais la reconnaissent protection de la vie humaine. aussi

Ingingo ya 8: yikomeza ry’imirimo Ibigize imicungire Article 8: Elements of a business continuity management Article 8: Éléments de gestion de la continuité des activités article 8; Vu la Loi N° 061/2021 du 14/10/2021 régissant paiement, de système spécialement en son article 8 ; le Pursuant to Law Nº 73/2018 of 31/08/2018 system, governing especially in its articles 9, 13 and 23; reporting credit Vu la Loi Nº 73/2018 du 31/08/2018 régissant le système d’information sur les crédits, spécialement en ses articles 9,13 et 23 ; Isubiye ku mabwiriza rusange N° 04/2018 yo ku wa 24/01/ 2018 yerekeye imicungire y’ikomeza ry’imirimo; reviewed Having the Regulation N° 04/2018 of 24/01/ 2018 on business continuity management; Ayant revu le Règlement N° 04/2018 du 24/01/ 2018 sur la gestion de la continuité des activités ; Banki Nkuru y’u Rwanda, mu ngingo «Urwego yitwa zikurikira aya , rw’ubugenzuzi» mabwiriza rusange akurikira : ishyizeho The National Bank of Rwanda hereinafter «Supervisory referred to following Authority», regulation: as issues the the La Banque Nationale du Rwanda, ci-après dénommée « Autorité de contrôle », édicte le présent règlement : UMUTWE WA MBERE: INGINGO RUSANGE CHAPTER PROVISIONS ONE: GENERAL CHAPITRE PREMIER DISPOSITIONS GÉNÉRALES : Ingingo ya 8: yikomeza ry’imirimo Ibigize imicungire Article 8: Elements of a business continuity management Article 8: Éléments de gestion de la continuité des activités Imicungire y’ikomeza ry’imirimo y’ikigo kigenzurwa ikubiyemo nibura: A business continuity management of a regulated institution shall, at a minimum, include: La gestion de la continuité des activités d'une institution réglementée comprend au minimum : 1° politiki y’imicungire y’ikomeza 1° a business continuity management 1° une politique de gestion de la ry’imirimo; policy; continuité des activités ; 2° inyigo y’ingaruka ku mirimo; 2° a business impact analysis; 2° une analyse d’impact sur les activités; 3° intego n’ingamba 3° recovery objectives and strategies; 3° objectifs et stratégies de reprise z’isubukurabikorwa; d’activités ; 4° gahunda y’ikomeza ry’imirimo; 4° a business continuity plan; 4° un plan de continuité des activités ; 5° gahunda zo: 5° programs for: 5° des programmes pour : a. gusuzuma no kugerageza gahunda a. review and testing of the a. réexamen et le test du plan 37 y’ikomeza ry’imirimo; business continuity plan de continuité des activités ; b. guhugura no gukangurira abakozi ibirebana n’imicungire y’ikomeza ry’imirimo. b. training and awareness of relation to continuity management. ensuring staff in business b. la et formation la sensibilisation du personnel en matière de gestion de la continuité des activités.

Ingingo ya 9: Politiki y’imicungire y’ikomeza ry’imirimo Article 9: The business continuity management policy Article 9: Politique de gestion de la continuité des activités Ingingo ya 9: Politiki y’imicungire y’ikomeza ry’imirimo Article 9: The business continuity management policy Article 9: Politique de gestion de la continuité des activités y’imicungire Politiki y’ikomeza ry’imirimo igomba kujyana n’imiterere, ingano n’urusobe by’ibikorwa by’ikigo kigenzurwa. The business continuity management policy shall be commensurate with the nature, size and complexity of a regulated institution’s operations. La politique de gestion de la continuité des activités doit être adaptée à la nature, à la taille et à la complexité des activités de l’institution réglementée. Politiki y’ikomeza ry’imirimo kwemezwa ikanavugururwa ngombwa. n’inama igihe igomba y’ubutegetsi cyose bibaye bagomba Ubuyobozi bukuru n’abakuru b’imirimo y’ingenzi uruhare rugaragara mu ishyirwa mu bikorwa rya y’ikomeza politiki ry’imirimo. y’imicungire kugira n’urushinzwe Urwego rw’umurimo rucunga ibyateza iyubahirizwa ingorane, zigomba kugira uruhare mu gushyiraho politiki y’ikomeza ry’imirimo kandi urwego rw’ubugenzuzi bw’imbere mu kigo rukagira inshingano zo guhora ruyigenzura. y’imicungire The business continuity policy must be approved and validated by the Board of directors of a regulated institution and shall be reviewed when situation so requires. La politique de continuité des activités doit être approuvée et validée par le conseil d’administration et doit être revue lorsque la situation l'exige. The senior management and the heads of business line shall be strongly involved in the the business implementation of continuity management policy. La direction et les responsables d’unités opérationnelles doivent être fortement impliqués dans la mise en œuvre de la politique de gestion de la continuité des activités. The risk management function and the compliance function shall be committed to the design of the business continuity management policy and the internal audit function must be involved in its regular audit. La fonction de gestion des risques et la fonction de conformité doivent s’engager dans la conception de la politique de gestion de la continuité des activités et la fonction d’audit interne doit être impliquée dans son audit régulier. 38 Mu gusuzuma politiki yacyo y’imicungire y’ikomeza ry’imirimo, ikigo kigenzurwa kigomba kureba ko ingamba gishobora gufata igihe izindi zinaniwe cyangwa n’uburyo zidakora bw’imikorere bwacyo, ibyateza ingorane, imbaraga ikigo kigenzurwa gifite zo guhangana n’ibyakiburabuza zikitezweho n’ibikorwa byihutirwa mu gusubukura imirimo zijyanye neza reviewing its business continuity In management policy, a regulated institution shall ensure that contingency strategies remain consistent with current operations, risks, threats, resiliency expectations and recovery priorities. Lors de la révision de sa politique de gestion de la continuité des activités, une institution réglementée doit veiller à ce que les contingence demeurent stratégies de risques, cohérentes menaces, attentes en matière de résilience et priorités de reprise d’activités. opérations, aux y’ikomeza y’imicungire Politiki igomba gusobanura neza ry’imirimo uruhare, inshingano ndetse n’abakozi bashinzwe kugira icyo bakora mu rwego rw’imicungire y’ikomeza ry’imirimo. The business continuity management policy shall clearly state roles, responsibilities and authorities to act in relation continuity the business to management. the La politique de gestion de la continuité des activités doit définir clairement les rôles, les responsabilités et les autorités chargées d’agir dans le cadre de la gestion de la continuité des activités.

Ingingo ya 10: imicungire y’ikomeza ry’imirimo Itsinda rishinzwe Article management team 10: Business continuity Article 10: Équipe de gestion de la continuité des activités Ingingo ya 10: imicungire y’ikomeza ry’imirimo Itsinda rishinzwe Ikigo kigenzurwa kigomba kugira itsinda y’ikomeza rishinzwe imicungire n’aba rigizwe ry’imirimo bakurikira: nibura Article management team 10: Business continuity Article 10: Équipe de gestion de la continuité des activités A regulated institution shall have a business continuity management team that shall be comprised of at least: Une institution réglementée doit disposer d'une équipe de gestion de la continuité des activités comprenant au moins : 1° umuhuzabikorwa (uturuka mu buyobozi bukuru); 1° coordinator (drawn from the senior management); 1° un coordinateur (provenant de la direction); 2° umukozi ushinzwe gucunga 2° risk management officer; 2° un responsable de la gestion des ibyateza ingorane; risques; 3° abakuriye inzego z’imirimo; 3° functional department 3° les chefs de départements. 39 heads

Ingingo ya 11: ikomeza ry’imirimo Itsinda rishinzwe Article 11: Responsibilities of business continuity management team Article 11: Responsabilités de l'équipe de gestion de la continuité des activités Ingingo ya 11: ikomeza ry’imirimo Itsinda rishinzwe Article 11: Responsibilities of business continuity management team Article 11: Responsabilités de l'équipe de gestion de la continuité des activités Inshingano z’ibanze z’itsinda rishinzwe ikomeza ry’imirimo zirimo izi zikurikira: The major responsibilities of the business continuity team include the following: Les principales responsabilités de l'équipe de continuité des activités sont les suivantes: yemezwa 1° gushyiraho gahunda y’ikomeza ry’imirimo n’inama y’ubutegetsi, ishingiye ku nzego eshanu (5) zikurikira zigaragaza imigendekere y’imicungire y’ikomeza ry’imirimo: 1° to develop a business continuity plan, for board approval, along the following five (5) levels which the business continuity reflect management life cycle: ku y’inzego a. urwego rw’ingamba: gusuzuma z’imirimo bafatanyabikorwa ibisabwa mu rwego n’amabwiriza n’ikomeza imiterere hitawe b’ingenzi, rw’amategeko yerekeranye ry’imirimo; a. strategic of level: examine the organizational framework taking business note and stakeholders, regulatory in relation to business continuity; key legislative requirements the b. urwego rw’ibikorwa by’ikigo: gutegura ingamba zo gusubukura ibikorwa n’uburyo bw’imikorere; b. process level: develop resumption strategies for business processes and activities; activités le 1° élaborer un plan de gestion de la pour des continuité approbation conseil par d’administration, selon les cinq (5) niveaux suivants qui reflètent le cycle de vie de la gestion de la continuité des activités: considération a. au niveau stratégique: examiner le cadre organisationnel en tenant les parties en prenantes clés, des exigences législatives et réglementaires en rapport avec la continuité des activités ; b. au des niveau processus opérationnels: des stratégies de reprise d’activités pour les processus opérationnels et les activités; élaborer c. abantu n’ibikoresho bikenerwa ikomeze: kugira ngo imirimo c. resource recovery: ensure the appropriate deployment of c. ressources d’activités: de assurer reprise le 40 ko ibikoresho kureba byose byatanzwe uko bikwiye ku buryo butuma imirimo ikomeza mu nzira zose z’ibikorwa; resources to ensure appropriate continuity across all business processes and activities; déploiement ressources des appropriées pour assurer une continuité appropriée dans tous les processus opérationnels et les activités; d. ubukangurambaga no kwigisha: gushyiraho umuco werekeye ikomeza ry’imirimo binyuze mu gahunda rya isuzuma z’ubukangurambaga ku ikomeza ry’imirimo. ko abayobozi b’imicungire y’ikomeza ry’imirimo babihuguwemo n’umuntu ubifitemo ubushobozi n’uburambe; Kumenya gahunda e. gusuzuma, kwita ku bikoresho, gupima no kugenzura: kumenya y’imicungire ko y’Ikigo ry’imirimo y’ikomeza yizewe gukora binyuze mu igenzura n’isuzuma ku buryo bwigenga. 2° kumenya ko ibipimo ari nyabyo hakoreshejwe amafishi bigakorwa buri mwaka.; d. awareness education: and develop a business continuity culture through assessment of business continuity awareness campaigns. Ensure the business continuity management trained by an managers are experienced business continuity management trainer; that d. sensibilisation et éducation: développer une culture de la continuité des activités à travers l’évaluation des campagnes de sensibilisation sur la continuité des activités. S’assurer les responsables de la gestion de la sont continuité des formés formateur par expérimenté; activités un que e. testing, maintenance, measurement and audit: Ensure business reliability continuity plan of an organization through independent review and testing. the of e. test, entretien, mesure et audit: s’assurer de la fiabilité du plan de continuité des activités d’une organisation une à vérification et un test menés de façon indépendante. travers 2° to ensure appropriate measurements through scorecards are done on an annual basis; 2° s’assurer que des mesures appropriées par le biais des tableaux de bord de gestion sont faits annuellement ; 3° gukurikirana ko ibipimo 3° ensure a recovery capability by’ubushobozi bw’isubukurabikorwa bitangwa; measurement is offered; 3° s’assurer qu’une mesure de capacité de reprise d’activités est offerte; 41 4° gukurikirana gahunda y’ikomeza ry’imirimo ishyirwa mu bikorwa hakorwa buri mwaka: ko 4° ensure the implementation of the business by continuity annually conducting: plan 4° s’assurer de la mise en exécution du plan de continuité des activités en procédant périodiquement à: a. isesengura ry’ingaruka ku mirimo ; a. a business impact analysis ; a. l’analyse de l’impact sur les activités ; b. isesengura ry’ibyateza ikigo cyose; ingorane b. an enterprise – wide risk b. l’évaluation des risques à assessment; and l’échelle de l’entreprise ; c. imicungire y’ibyateza ingorane n’ikurikirana ryabyo kugira ngo hamenyekane bya ngombwa n’ibibazo bikomeye bishobora kubaho bigahagarika imirimo. ibikorwa c. a risk management and risk monitoring to identify the critical and potential major disruptions. activities c. la gestion des risques et le suivi des risques pour identifier les activités essentielles et les perturbations majeures éventuelles.

Article 12: y’ikomeza ry’imirimo Imiterere y’imicungire Article 12: Status of business continuity management Article 12: État de la gestion de la continuité des activités ICYICIRO CYA II: ISESENGURA RY’INGARUKA KU MIRIMO SECTION II: BUSINESS IMPACT ANALYSIS SECTION L’IMPACT SUR LES ACTIVITÉS ANALYSE II: DE Article 12: y’ikomeza ry’imirimo Imiterere y’imicungire Article 12: Status of business continuity management Article 12: État de la gestion de la continuité des activités Itsinda rishinzwe ikomeza ry’imirimo rigomba guha ku buryo buhoraho inama y’ubutegetsi n’ubuyobozi bukuru raporo ku miterere y’imicungire y’ikomeza ry’imirimo igaragaza ahagaragaye ibyuho. Ibi bikorwa muri raporo ku ishyirwa mu ku mbogamizi, bikorwa, ibyagaragajwe n’isuzuma ndetse na gahunda zirebana na byo kugira ngo ry’imirimo y’ikomeza gahunda yongererwe ingufu. raporo on The business continuity team shall submit a report on the status of business continuity management to the board and senior management basis, highlighting where gaps are identified. This is through implementation status reports, incident reports, testing results and related plans for strengthening the business continuity plan. regular a activités L’équipe chargée de la continuité des activités doit transmettre régulièrement le rapport sur l’état de la gestion de la continuité des au Conseil d’administration et à la direction tout en soulignant des lacunes identifiées. Ceci se fait à travers de rapports d’état d’exécution, des rapports d’incident, des résultats des tests et le renforcement du plan de continuité des activités. les plans connexes pour 42 Impinduka muri gahunda y’ikomeza ry’imirimo zigomba gukurikiza uburyo ikigo kigenzurwa gisanzwe gikoresha mu gucunga impinduka ku birebana na politiki n’imikorere biri mu nyandiko zacyo. Ubu buryo bwo kugenzura impinduka bugomba kugaragaza ko gahunda zahujwe n’igihe zatanzwe kandi zinonosorwa binyuze mu mavugurura ahoraho akorwa kuri gahunda yose. Changes in the business continuity plan shall follow a regulated institution’s formal change management process in place for its policy or procedure documents. This formal change control process shall ensure that the updated plans are distributed and reinforced by regular reviews of the complete plan. l’institution Les changements au plan de continuité le processus d’activités doivent suivre formel en place de gestion du changement de réglementée pour ses documents de politiques ou de procédures. Ce processus formel de contrôle des changements doit s’assurer que les plans mis à jour sont distribués et renforcés par des examens réguliers du plan complet. ICYICIRO CYA II: ISESENGURA RY’INGARUKA KU MIRIMO SECTION II: BUSINESS IMPACT ANALYSIS SECTION L’IMPACT SUR LES ACTIVITÉS ANALYSE II: DE

Ingingo ya 13: Intego z’isesengura ry’ingaruka ku mirimo Article 13: Business impact analysis objectives Article 13: Objectifs de l’analyse de l’impact sur les activités Ingingo ya 13: Intego z’isesengura ry’ingaruka ku mirimo Article 13: Business impact analysis objectives Article 13: Objectifs de l’analyse de l’impact sur les activités Isesengura ry’ingaruka ku mirimo, ku byerekeranye kigenzurwa, n’ikigo rigomba nibura: Business impact analysis shall, in relation to the regulated institution, at least: L’analyse de l’impact sur les activités doit, en relation avec une institution réglementée, au moins : 1° kumvikanisha intego za ngombwa, ibyihutirwa n’iteganyagihe ryo gusubukura imirimo; 1° provide an understanding of most critical objectives, priority and the resumption of timeframes business operations; for 1° faire comprendre des objectifs les plus essentiels , la priorité et les délais pour la reprise des activités commerciales; 2° kugaragaza amakuru y’ingenzi n’ibikorwaremezo ayo makuru ashingiraho; 2° identify their critical information assets and the infrastructure upon which it depends; 2° identifier leurs informations critiques et les infrastructures dont elle dépend ; 3° guha umwanya w’ibanze umutekano w’ikoranabuhanga mu n’itumanaho itangazabumenyi 3° prioritize cyber security efforts based on the significance of the critical information assets critical 43 3° donner la priorité aux efforts de de fonction d’informations cybersécurité l'importance en hakurikijwe agaciro k’umutungo urebana n’amakuru y’ingenzi ku mirimo ibisabwa hubahirizwa byose mu rwego rw’amabwiriza n’amategeko akurikizwa; operations while observing all legal and regulatory requirements into force; les essentielles pour activités essentielles tout en respectant toutes les et exigences réglementaires en vigueur ; légales amakuru ibisabwa 4° gutanga akurikira yerekeye mu mitunganyirize y’akazi buri gihe kugira ngo buri mirimo ushobore gukorwa ku buryo bukomeza cyangwa isubukurabikorwa ribe mu gihe cyateganyijwe: 4° provide the following information about resource required over time to enable each business function within the organization achieve continuity or resumption of activity within the established timeframes: 4° fournir les informations suivantes sur les ressources nécessaires au fil du temps pour permettre à chaque de unité l'organisation d'assurer la continuité ou la reprise d'activité dans les délais fixés: opérationnelle a. umubare w’abakozi n’ubumenyi a. staff numbers and key a. le nombre d’employés et les bwabo bw’ingenzi; skills; compétences clés; b. ikoreshwa ry’amakuru n’urusobe bwoko yo mu by’amakuru bw’ikoranabuhanga; b. data applications and b. les applications et systèmes de systems; données; c. imbogamizi zituma kigorana kukigeraho; ikigamijwe c. constraints; c. contraintes; d. ibikorwa by’ingenzi cyangwa akazi bikeneye kubikwa kugira ngo uburyo ndetse bw’imikorere n’imirimo bikomeze; d. Mission Critical Activities (MCA’s) or tasks that need to be recorded to ensure continuity of the process and business; d. les activités essentielles ou les tâches qui doivent être enregistrées pour assurer la continuité du processus et des activités; uburyo e. abantu, bw’imikorere, inzira zikoreshwa, abafatanyabikorwa b’ikigo baba e. dependencies on people, systems, processes, internal and external parties; e. dépendances sur des personnes, des systèmes, des processus ainsi que des parties internes et externes; 44 ab’imbere cyangwa hanze ikigo kibashe kugirango gikeneye gukora; f. igihe cy’isubukurabikorwa (RTO) agomba y’amakuru n’intego kugarurwa kugira ngo ibikorwa igikorwa bisubukurwe cyangwa cy’ingenzi cyangwa imirimo ikigo gikeneye kubika; (RPO) 5° kugaragaza isesengura ry’ingaruka koranabuhanga z’uburyo rigaragaza cyane cyane: f. Recovery time objective (RTO) and Recovery Point Objective (RPO) for every Mission Critical Activities (MCA) or business that needs to be recorded. f. objectif de délai de reprise d’activité s (RTO) et objectif de point de reprise d’activités (RPO) pour toutes les activités essentielles (MCA) ou pour être l’activité qui doit enregistrée; 5° provide an impact assessment of 5° évaluer l’impact des systèmes systems highlighting: mettant en évidence: a. aho buherereye; a. location; a. l’emplacement; b. abakuriye abafite ishami ry’akazi; b. department unit heads; b. les propriétaires du département ; c. amakuru ku buryo koranabuhanga; c. information on IT system; c. l’information informatique ; sur le système d. amatariki yo gutangira d. commissioning dates; d. les dates de mise en service ; gukoreshwa; e. umukozi w’umutekinisiye ubishinzwe; e. technical responsible; person e. le responsable technique ; f. y’igihe intego amakuru, cy’isubukurabikorwa n’ intego cyo kugarura y’igihe f. Recovery Time Objective, Recovery Point Objective; and f. Objectif de délai de reprise d’activités, Objectif de point de reprise d’activités ; et g. urutonde rw’uburyo bwo guhitamo g. a list of recovery options for g. une liste des options de reprise 45 isubukurabikorwa mikorere y’umurimo. kuri buri each business process. d’activités pour chaque processus d’activités. Isesengura ry’ingaruka ku mirimo rigomba kwemezwa n’amashami y’akazi cyangwa abakuru b’imirimo mu buryo buzwi bagaragaza ko bumvise, bemeye kandi basuzumye ko iryo sesengura ry’ingaruka ku mirimo ari nyaryo. Business impact analysis shall be signed off by department or functional heads functional process through a stipulating that they understand, accept and verified impact that assessments are correct. business formal the Les analyses de l’impact sur les activités doivent être signés par les chefs de département ou les chefs de services à travers un processus formel fonctionnel stipulant qu’ils comprennent, acceptent et ont vérifié si les analyses d’impact sur les activités sont correctes.

Ingingo ya 14: Ibikwiye kwitabwaho mu gihe cy’isesengura ry’ingaruka ku mirimo Article 14: Factors to consider business impact assessment in Article 14: Facteurs à prendre en compte dans l'évaluation de l'impact sur les activités Ingingo ya 14: Ibikwiye kwitabwaho mu gihe cy’isesengura ry’ingaruka ku mirimo Article 14: Factors to consider business impact assessment in Article 14: Facteurs à prendre en compte dans l'évaluation de l'impact sur les activités Mu gihe cyo gusuzuma ingaruka ku mirimo, ikigo kigenzurwa kigomba kwita: 1° ku buryo butandukanye imirimo ishobora guhagararamo mu bihe bitandukanye; 2° ku gihe kigenzurwa ikigo gishobora kumara kidakora kidafite buri murimo w’ingenzi; When conducting the business impact institution assessment, considers: regulated the Lors de l'évaluation de l'impact sur les activités, l'institution réglementée prend en considération : 1° plausible disruption scenarios over 1° des scénarios de perturbation périodes des sur plausibles variables ; varying periods of time; 2° the period of time for which the regulated institution could not operate without each of its critical business operations; 2° la période pendant laquelle l'institution réglementée ne pourrait pas fonctionner sans chacune de ses commerciales opérations essentielles; 3° les conséquences d’une perturbation activités essentielles sur les consommateurs des 3° ingaruka z’ihagarara ry’imirimo y’ingenzi ku baguzi n’abandi bafatanyabikorwa mu mirimo y’ikigo kigenzurwa; 3° the impact of disruption to the critical business operations on consumers and other stakeholders 46 4° n’ingaruka amategeko, ihagarara kigenzurwa bitandukanye. zerekeye n’isura ry’imirimo imari, y’ikigo y’ikigo ryagira mu bihe of a regulated institution’s service; and et autres parties prenantes du service d'une institution réglementée; et 4° the financial, legal, regulatory and reputational impact of a disruption to regulated institution’s critical business operations over varying periods of time. 4° l'impact juridique, financier, réglementaire et sur la réputation issue de la perturbation dans les commerciales opérations essentielles institution d'une réglementée au cours des périodes de temps variables.

Ingingo ya 15: Uburyo na tekiniki bikoreshwa mu gukora isesengura ry’ingaruka ku mirimo Article 15: Methods and techniques for business impact analysis Article 15: Méthodes et techniques pour l’analyses d’impact sur les activités 16 Official Gazette n° 26 of 27/06/2022 Ingingo ya 15: Uburyo na tekiniki isesengura bikoreshwa mu gukora ry’ingaruka ku mirimo Article 15: Methods and techniques for business impact analysis Article 15: Méthodes et techniques pour l’analyses d’impact sur les activités bukurikira Uburyo bukomatanyirijwe hamwe, ariko butagarukira ku bukurikira, bukoreshwa mu isesengura ry’ingaruka ku mirimo: gukora A combination of methods and techniques, not limited to the following are used to carry out business impact analysis: Une et combinaison des méthodes techniques, ne se limitant pas aux suivantes, est utilisée pour effectuer l’analyse de l’impact sur les activités: 1° urutonde rw’ibibazo; 1° questionnaires; 1° des questionnaires ; 2° kugirana ibiganiro; 2° interviews, and 2° des interviews ; et 3° n’imyiherero y’akazi 3° workshops. 3° des ateliers isesengura Ibivuye mu ryakozwe hashingiwe ku buryo buvugwa mu gika cya mbere cy’iyi ngingo bishingirwaho mu ishyirwaho y’ikomeza ry’imirimo. Amakuru yose y’ingenzi abikwa kugirango yifashishwe. gahunda rya The outcome obtained in accordance with business impact analysis carried out in line with a combination of methods and techniques mentioned on paragraph One of this Article provides a basis for the business continuity plan. All relevant information shall be stored for reference. 47 sur l'activité Le résultat obtenu conformément à l'analyse réalisée d'impact conformément à une combinaison de méthodes et de techniques mentionnées au premier paragraphe du présent article sert de base au plan de continuité des activités. Toutes les informations pertinentes sont conservées à titre de référence.

Ingingo ya 16: Isesengura ry’ibyateza ingorane Article 16: Risk assessment Article 16: Évaluation des risques Ingingo z’isubukurabikorwa ya 17: Intego Ingingo ya 16: Isesengura ry’ibyateza ingorane Article 16: Risk assessment Article 16: Évaluation des risques Isesengura ry’ibyateza ingorane risuzuma imirimo yihutirwa cyane yagaragajwe n’isesengura ry’ingaruka ku mirimo. A risk assessment examines the most urgent business functions identified during business impact analysis. Une évaluation des risques examine les fonctions d’activité les plus urgentes identifiées lors de l’analyse de l’impact sur les activités. Isesengura ry’icyateza ingorane riteganya nibura kugera ku bintu bikurikira: A risk assessment shall at minimum achieve the following: Une évaluation des risques atteint, au minimum, les objectifs suivants: 1° kugaragaza ubucucike bw’iby’ibyateza ingorane butakwemerwa n’ahantu hamwe honyine hatuma imirimo ihagarara; 1° identify unacceptable concentrations of risk and single point of failure; 2° kugaragaza ibishobora guhungabanya bishobora guturuka imbere mu kigo cyangwa hanze byatuma ihagarara no gusuzuma ikigero cyabo cyo kuba byabaho n’ingaruka byagira; imirimo 2° identify internal and external threats that may cause a disruption and assess their probability and impact; 1° identifier des concentrations inacceptables des risques et des points uniques de défaillance; 2° identifier les menaces internes et externes qui peuvent causer une perturbation leur probabilité et impact; évaluer et 3° gushyira imbere guhungabanya miterere y’ikigo; ibishobora ku hashingiwe 3° prioritize threats according to the 3° accorder la priorité aux menaces en institution; fonction de l’institution; 4° gutanga amakuru y’uburyo bwo gucunga icyateza ingorane ndetse na gahunda y’ibikorwa yerekeye 4° provide information for a risk control management strategy and an action plan for risks to be 4° fournir des informations pour une stratégie de gestion du contrôle des risques et un plan d’action pour les 48 ibibazo byakemurwa; byateza ingorane addressed; risques à traiter; 5° koroshya hakoreshejwe kubikemura ishingiyeho; ibyateza gahunda ifite ingorane yo inyandiko 5° mitigation of risks through a documented remediation plan; 5° atténuation des risques à travers un plan de remédiation documenté ; 6° ingaruka ku kuzahura ibikorwa 6° impact on restoring critical by’ingenzi; business functions; 6° impact sur le rétablissement des de essentielles fonctions l’entreprise, Mu buryo na tekiniki bikoreshwa mu gukora ingorane hakubiyemo: y’ibyateza inyigo The methods and techniques to be used to provide a risk assessment include: Les méthodes et techniques à utiliser dans l’évaluation comprennent notamment: risque du 1° amakuru ashingiye ku 1° statistics data; 1° les données statistiques; ibarurishamibare; 2° imibare yatangajwe inshuro ibiza bibaho; igaragaza 2° published statistics; disaster frequency 2° les statistiques publiées sur fréquence des catastrophes; la 3° uburyo bwerekeye kugaragaza ibipimo by’ibyago byo guhura n’ingorane, ingaruka zazo, ndetse n’ubushobozi; 3° scoring systems for impact, 3° le probability and ability; système de notation pour la la probabilité et l’impact, capacité; 4° isesengura ry’ibyuho; 4° gap analysis; 4° l’analyse des écarts; 5° isuzuma ry’ubudahungabana; 5° stress testing. 5° test de résistance 49 Ingingo z’isubukurabikorwa ya 17: Intego

Article 17: Recovery objectives Article 17: Objectifs de d’activités reprise Article 17: Recovery objectives Ikigo kigenzurwa kigaragaza kandi kigashyiraho intego z’isubukurabikorwa zikwiye n’ingamba z’ishyirwamubikorwa hashingiwe ku byavuye mu isesengura ry’ingaruka ku mirimo no ku miterere, ingano n’urusobe byacyo. Intego z’isubukurabikorwa zigomba kuba zifite aho zihuriye n’ibyateza ingorane izo zateza mu mikorere y’ikigo ntego kigenzurwa. Hashingiwe ku bivugwa mu gika rishinzwe kibanziriza imicungire y’ikomeza ry’imirimo y’ikigo kigenzurwa rigomba: itsinda iki, 1 º gusesengura ibyateza ingorane intego z’isubukurabikorwa zateza urwego rw’imari hashingiwe kuri serivisi z’ingenzi gitanga ndetse n’uburemere bwazo ku rwego rw’imari; A regulated identifies and institution develop appropriate recovery objectives and implementation strategies based on the results of the business impact analysis and its nature, size and complexity. Article d’activités 17: Objectifs de reprise Une institution réglementée identifie, et développe des objectifs de reprise d’activités appropriés et des stratégies de mise en œuvre sur la base des résultats de l'analyse de l'impact sur les activités et de sa nature, de sa taille et de sa complexité. The recovery objectives reflect the risk they represent to the operation of regulated institution. Les objectifs de reprise d’activités doivent refléter le risque qu’ils représentent pour le l’institution fonctionnement réglementée. de For the purpose of preceding paragraph, a regulated institution´s business continuity management team must: Aux fins de l’alinéa précédent, l’équipe chargée de la gestion de continuité des activités de l’institution réglementée doit: 1° make an assessment of the risks recovery objectives may pose to the financial sector based on critical services they provide and their significance financial system; the to 1 º faire une évaluation des risques que les objectifs de reprise d’activités peuvent secteur représenter au financier en fonction des services essentiels qu’elles fournissent et leur importance système pour financier; le 2 º kugaragaza bigomba y’ibindi; imirimo n’ibikorwa gusubukurwa mbere 2° identify those business functions and operations to be recovered on a priority basis; les 2 º identifier opérations prioritairement ; activités à et les rétablir 3 º gushyiraho intego 3° establish recovery objectives 3 º établir des objectifs de la reprise 50 z’isubukurabikorwa n’ingorane urwego rw’imari. zishobora zijyanye guteza proportional to the risk they pose to the financial system. d’activités proportionnels au risque qu’ils représentent pour le système financier.

Ingingo ya 18: Gukemura ibibazo na gahunda z’isubukurabikorwa Article 18: Incidents response and recovery plans Article 18 : La réaction aux incidents et plan de reprise d’activités Ingingo ya 18: Gukemura ibibazo na gahunda z’isubukurabikorwa Article 18: Incidents response and recovery plans Article 18 : La réaction aux incidents et plan de reprise d’activités gishyiraho kigenzurwa Ikigo kandi kigashyira mu bikorwa uburyo bwo ibibazo ndetse na gahunda gukemura z’isubukuramirimo rwego mu rw’imicungire bishobora y’ibibazo ibikorwa by’ingenzi. Ikigo guhagarika kigenzurwa kigomba kunoza gahunda zo gukemura ibibazo no gusubukura imirimo kita ku masomo cyakuye mu bibazo byabanje. A regulated institution shall develop and implement response and recovery plans to manage incidents that are likely to disrupt the delivery of critical operations. A regulated institution shall continuously response and incident improve recovery plans by incorporating the lessons learned from previous incidents. their les Une institution réglementée élabore et met en œuvre des plans de réaction et de reprise incidents d’activités pour gérer susceptibles de perturber la réalisation des activités institution essentielles. Une réglementée améliore continuellement ses plans de réaction et de reprise d’activités en cas d'incident en intégrant les leçons tirées des incidents précédents.

Ingingo ya 19: Uburyo bwo gusubukura ibikorwa Article 19: Recovery arrangements Article 19: Modalités de d’activités reprise ICYICIRO CYA Y’IKOMEZA RY’IMIRIMO III: GAHUNDA SECTION CONTINUITY PLANS III: BUSINESS SECTION III : CONTINUITÉ DES ACTIVITÉS PLAN DE Ingingo ya 19: Uburyo bwo gusubukura ibikorwa Article 19: Recovery arrangements Article 19: Modalités de d’activités reprise Ikigo kigenzurwa gisuzuma ko uburyo bwerekeye isubukurabikorwa buboneye mu gihe cyo gusuzuma niba gahunda y’ikomeza ry’imirimo y’ikigo ishobora gukorana rikomeye n’ihagarika ry’imirimo. A regulated institution shall review the adequacy of recovery arrangements when institution’s an evaluating whether business continuity plan to is able accommodate operational disruptions. major Une institution réglementée doit examiner la justesse des dispositions de reprise d’activités lors de l’évaluation pour savoir si son plan de continuité des activités peut supporter des perturbations opérationnelles majeures. Isuzuma bwerekeye rigomba gusesengura ibi bikurikira: rigamije kureba ko uburyo riboneye isubukurabikorwa The review of the adequacy of recovery arrangements must assess the following areas among others: L’examen de l’adéquation des dispositions de reprise d’activités doit évaluer les domaines suivants entre autres: 1° niba ahandi hantu hakorerwa ari 1° whether the alternate site is 1° si le site alternatif est suffisamment 51 kure bihagije y’ishami ry’ikigo kigenzurwa; rikuru sufficiently remote from the main branch of a regulated institution; éloigné du siège d’une institution réglementée; 2° ahantu ho kwimukira mu gihe cy’ibiza hafite ibikoresho bihagije, amakuru ndetse n’ubushobozi byo rw’ikoranabuhanga mu rwego bifasha gukomeza ibikorwa na serivisi z’ibanze mu gihe gihagije; 2° whether disaster recover site is sufficiently equipped with the necessary equipment, IT solutions and data to maintain critical operations and services for a sufficient time period; 2° si le site de reprise d’activité en cas de désastre est suffisamment équipé de matériel nécessaire, de solutions informatiques et données pour maintenir les opérations et services essentiels période suffisante ; pour une 3° ibarura ry’imitungo (kaseti zibitse imiyoboro amakuru y’ingoboka, y’itumanaho, uburyo bw’imikorere n’ibikoresho bijyana n’ikoranabuhanga) rikenewe mu gihe cy’isubukurabikorwa hanze y’ikigo; 3° an inventory of assets (backup links, hardware) tapes, operating needed for offsite recovery; communication systems, 3° un inventaire des biens (cassettes de sauvegarde de données, liens de systèmes communication, dur) d’exploitation, nécessaire pour reprise des activités hors site; disque la 4° ibyo abakozi bakenera n’aho bakwimurirwa gihe cy’ihagarika rikomeye ry’imirimo; mu 4° staff requirements and reallocation to the alternate site in the event of a major disruption; 4° les besoins du personnel et sa réaffectation au site alternatif en cas de perturbation majeure ; 5° imirimo ikorwa hifashishijwe undi 5° outsourced activities, including: 5° les activités externalisées, y muntu harimo: compris: a. niba ikigo gitanga serivisi gisuzuma neza ibyateza ihagarikwa ry’ibikorwa byacyo kandi niba gishobora gushyira mu bikorwa y’ikomeza yacyo gahunda ry’imirimo kandi hakarebwa niba igendanye na gahunda y’ikomeza a. whether the company that provides the service adequately assesses the risks of disruption of its operations and effectively can operate its business continuity plan, taking into account its alignment with the institution’s business regulated a. vérifier si la société qui fournit le service évalue de manière adéquate les risques de perturbation de ses opérations et peut mettre en œuvre de façon efficace son plan de continuité d’activités tout en tenant compte de son alignement sur le 52 ry’imirimo y’ikigo kigenzurwa; continuity plan; plan de continuité d’activités de l’institution réglementée; b. uruhare ndetse n’inshingano zo gukomeza no kugerageza gahunda ry’imirimo y’utanga y’ikomeza serivisi; b. the roles and responsibilities for maintaining and testing the service continuity business provider’s plan; b. les rôles et les responsabilités pour maintenir et le plan de tester continuité d’activités du prestataire de services; c. ingamba zo gusoza kwifashisha c. an exit strategy from outsourced c. une stratégie de sortie pour les undi umuntu; activities; activités externalisées; d. ingamba za ngombwa kugira ngo hirindwe uko bishoboka kose ihagarika ry’imirimo mu gihe hashakwa undi muntu watanga serivisi; d. procedures to ensure required minimum disruption to business when service an provider is sought; alternative d. les procédures requises pour assurer une perturbation minimale des activités lors de la recherche d’un autre prestataire de services ; 6° uburyo, ibikoresho n’imiterere y’imicungire by’ikigo cyabyaye ikigo kigenzurwa; 6° systems, tools and management structures from the parent of a regulated institution; 6° systèmes, outils et structures de gestion de la part de l’institution mère de l’institution réglementée; 7° uburyo bw’ikoranabuhanga n’uburyo bwo gucunga umutekano w’amakuru, harimo: a. ubudakemwa, ibanga, no kuba ubwo buryo buboneka; 7° information framework security management including: Technology and (IT) information system, 7° cadre des technologies de l’information (TI) et système de de la de gestion l’information y compris: sécurité a. systems’ confidentiality availability; integrity, and a. l’intégrité, la confidentialité et la disponibilité des systèmes; b. imirimo n’inshingano zijyanye n’amakuru n’uburyo akoreshwa; b. roles and responsibilities for data and data processes; b. les rôles et responsabilités pour les données et les processus de données; 53 c. ubushobozi mu gihe cy’imirimo mu buryo busanzwe no mu bihe imirimo iba ikorwa ari myinshi mu gihe kimwe; c. capacity for normal activity c. levels and for peaks; la capacité pour les niveaux d’activité normaux et pours les pics ; d. uburyo bwo kugaragaza, kurinda, guhangana no zerekeranye ku makuru gutahura n’imbogamizi n’ibibazo n’umutekano; byaba d. processes identify, to protect, detect, respond and recover from information and security incidents; d. les processus d’identification, de protection, de détection, de réaction et de reprise d’activités face aux incidents d’informations et de sécurité ; e. igishushanyo kigaragaza uko e. incident flow chart; e. le diagramme de flux des incidents; ibibazo bibaho; f. ibijyanye n’isubukurabikorwa cyangwa gahunda zo kugarura imirimo ibikorwa kugira ngo y’ikigo yongere ikomeze; kigenzurwa f. resumption aspects or business restoration plans for resuming the activities of the regulated institution; f. aspects de reprise d’activités ou plans de restauration des activités afin de reprendre les activités de l’institution réglementée; g. gahunda y’isubukurabikorwa; g. recovery action plan; g. plan d’action de la reprise des activités; h. kwimuka. h. relocation. h. déménagement. ICYICIRO CYA Y’IKOMEZA RY’IMIRIMO III: GAHUNDA SECTION CONTINUITY PLANS III: BUSINESS SECTION III : CONTINUITÉ DES ACTIVITÉS PLAN DE

Ingingo ya 20: Gahunda y’ikomeza ry’imirimo Article 20: Business continuity plan Article 20 : Plan de continuité des activités Article y’ikomeza ry’imirimo 21 : Gusuzuma gahunda Article continuity plan 21: Testing of business Ingingo ya 20: Gahunda y’ikomeza ry’imirimo Article 20: Business continuity plan Article 20 : Plan de continuité des activités Ikigo kigenzurwa kigomba buri gihe kugira gahunda y’ikomeza ry’imirimo A regulated institution shall, at all times, maintain a documented business continuity Une institution réglementée doit, à tout moment, maintenir un plan de continuité des 54 yanditse. plan. activités documenté. Gahunda y’ikomeza ry’imirimo igomba guhuza n’intego za politiki y’imicungire y’ikomeza ry’imirimo. The business continuity plan shall meet the objectives of the business continuity management policy. Le plan de continuité des activités doit répondre aux objectifs de la politique de gestion de la continuité des activités. Gahunda y’ikomeza ry’imirimo igomba: A business continuity plan shall: Un plan de continuité des activités doit : 1 º 2 º 3 º 4 º 5 º impamvu kugaragaza gahunda y’ikomeza ishyirwa mu bikorwa; zatuma ry’imirimo 1° set out conditions for activating 1° business continuity plans; définir les conditions d'activation des plans de continuité des activités; kugaragaza neza abayobozi bafata ibyemezo; 2° clearly set out the decision-making 2° authority; définir décisionnelle; clairement l'autorité kugaragaza uburyo neza ubuyobozi busimburanamo mu gihe habaye ihagarika ry’imirimo bigatuma abakozi b’ingenzi babura uko bakora ibyo bashinzwe; kugaragaza mu buryo burambuye gahunda y’ingoboka yihutirwa; kugaragaza n’ahakorerwa byateganyijwe bisimbura bikenerwa byunganira y’ingenzi; ibikenerwa imirimo ibyo imirimo 3° provide clear guidance regarding the succession of authority in the event of a disruption that disables key personnel; 3° la donner des orientations claires de concernant l'autorité en cas de perturbation qui rend le personnel clé incapable de travailler; succession 4° detail emergency procedures; 4° détailler les procédures d'urgence ; 5° identify the processing resources and locations available to replace those critical supporting activities; 5° identification des ressources et des emplacements traitement, disponibles pour remplacer ceux qui activités soutiennent essentielles; des de 6 º gushyiraho uburyo bwitabazwa bugaragaza ingamba zafatwa mu imirimo rwego rwo kwimurira 6° set out fall back procedures which describe the actions to be taken to move essential business 6° mettre en place les procédures de repli qui décrivent les actions à les entreprendre pour déplacer 55 cyangwa ahandi serivisi y’ingenzi hantu z’ubufasha h’agateganyo no kongera gukora imirimo nk’uko bisanzwe mu gihe cya ngombwa; amakuru kugaragaza agomba kubikwa ngo azifashishwe mu gihe ububiko bw’ibanze bwaba bugize ikibazo n’aho abikwa, n’ibisabwa kugira ngo amakuru abikwe ngo azifashishwe mu gihe runaka kandi hubahirijwe gahunda izwi ; uburyo gushyiraho bwo gusubukura imirimo, busobanura ibigomba gukorwa kugira ngo imirimo yongere ikorwe nk’uko bisanzwe; activities or support services to alternative temporary locations and to bring business processes back the required time-scales; into operation in activités essentielles ou des services d’appui vers d’autres sites alternatifs temporaires les et activités dans un délai approprié ; redémarrer 7° 7° identify information to be backed up and the location for storage, as well as the requirement for the information to be saved for back- up purpose on a stated schedule and compliance therewith; les informations identifier à sauvegarder et l'emplacement de stockage, ainsi que l'exigence de sauver des informations à des fins de sauvegarde selon un calendrier défini et le respect de celui-ci ; 8° set out resumption procedures, which describe the actions to be to normal return to taken business operations; 8° définir les procédures de reprise d’activités, qui décrivent les actions à entreprendre pour revenir aux activités normales ; gushyiraho ingengabihe igaragaza neza uburyo n’igihe gahunda izageragerezwaho n’uburyo bwo guhorana iyo gahunda; 9° set out schedule which specifies how and when the plan will be tested and for maintaining the plan; the process 9° mettre en place le calendrier de maintien qui spécifie comment et quand le plan sera testé et le processus de maintien du plan ; ibikorwa kugaragaza no gushyira mu byiciro by’ingenzi ikigo n’ibintu cyangwa abantu gishingiyeho kugira ngo kibashe gukora, baba ab’imbere cyangwa hanze yacyo; 10° identifying categorizing and critical business operations and external internal key dependencies; and 10° identifier et classifier les opérations des activités essentielles ainsi que les dépendances internes et externes clés; 7 º 8 º 9 º 10 º 11 º kugaragaza ibyiciro 11° set out recovery levels and time 11° définir les niveaux de reprise 56 12 º 13 º 14 º 15 º by’isubukurabikorwa n’igihe buri cy’ingenzi gikorwa kizasubukurirwa; targets for each critical business operation; d’activités et les délais pour chaque opération des activités essentielle ; kugaragaza z’isubukurabikorwa murimo w’ingenzi; ingamba buri kuri 12° set out recovery strategies for each critical business operation; 12° définir des stratégies de reprise d’activités pour chaque opération d’activité essentielles; kugaragaza ibikorwaremezo n’ibikoresho bya ngombwa ngo gahunda y’ikomeza ry’imirimo ishyirwe mu bikorwa; gushyiraho gahunda z’itumanaho ku ndetse n’abafatanyabikorwa; bakozi neza kugaragaza ibikorwa by’imenyekanisha no kwigisha gusobanura byateganyirijwe ibikorwa n’imirimo by’ingenzi uburyo by’ibigo by’imari, bw’ikomeza no kumenya ko bikomeza gukorwa neza; ry’imirimo 13° highlights infrastructure and resources required to implement the business continuity plan; 13° mettre en évidence les les ressources infrastructures et nécessaires à la mise en œuvre du plan de continuité des activités ; 14° 15° 14° establish communication plans external and with staff stakeholders; 15° highlight awareness and education activities, which are designed to create understanding of critical financial institutions operations functions, and business continuity processes and ensure that the processes continue to be effective; établir des plans de communication avec le personnel et les parties prenantes externes ; et les pour créer activités de souligner d’éducation sensibilisation une conçues compréhension des opérations et des fonctions des institutions et des processus de continuité des activités et s'assurer que les processus continuent d'être efficaces ; essentielles financières 16 º kuvuga mu buryo burambuye uruhare, inshingano n’abayobozi bafite ububasha ku birebana na gahunda y’ikomeza ry’imirimo; 16° detail roles, responsibilities and authorities to act in relation to the business continuity plan; 16° détailler les rôles, les responsabilités et les autorités qui agissent en relation avec le plan de continuité des activités; 17 º kugaragaza uburyo butandukanye 17° highlight scenario analyses of 17° souligner les analyses de scénarios 57 ihagarara kubamo; ry’imirimo rishobora potential disruptions; de perturbations potentielles ; 18 º kugaragaza imbago za buri kintu ry’imirimo cyateza y’ikomeza gituma ry’imiromo ishyirwa mu bikorwa: ihagarikwa gahunda 18° demonstrate limits within each disruption scenario that activate a business continuity plan which: 18° montrer les limites dans chaque scénario de perturbations qui activent une procédure de continuité d’activités qui: a. kwita ku isubukurabikorwa; a. addresses aspects; resumption a. traite des d’activités ; aspects de reprise b. gushyiraho intego cy’isubukurabikorwa ndetse n’intego kugarura amakuru (RPO); y’igihe y’igihe (RTO) cyo b. sets recovery time and objectives recovery point objectives (RPO); (RTO) b. définit le de reprise temps d’activités (RTO) et les objectifs relatifs au temps de la reprise d’activités (RPO) ; c. guteganya amakuru kwimura amwe mu gihe gikwiye hagati y’ahakorerwa h’ibanze n’ahantu hagenewe isubukurabikorwa mu gihe cy’amage; c. sets out real-time data replication between primary site and disaster recovery site; c. prévoit la réplication des données en temps réel entre le site principal et le site de reprise d’activités en cas de désastre ; d. bgshyiraho imirongo ngenderwaho d. establishes communication d. y’itumanaho. guidelines. établit communication. des directives de ry’ingaruka Gahunda y’ikomeza ry’imirimo yita ku ku mirimo isesengura rwego mu n‘ingaruka zayo ku rw’umutungo, rw’ibikorwa, rw’amategeko nurw’isura y’ikigo. impact Business continuity plan shall consider business its and to financial, in relation consequences operational, legal and reputational aspects of a regulated institution. analysis Le plan de continuité des activités doit tenir compte de l'analyse de l'impact sur les activités et ses conséquences au niveau financier, opérationnel, juridique et de réputationnel. Gahunda ry’imirimo y’ikomeza ivugururwa igihe cyose bibaye ngombwa. The Business Continuity Plan shall be reviewed when the situation so requires. Le plan de continuité des activités est réexaminé lorsque la situation l'exige. 58 Article y’ikomeza ry’imirimo 21 : Gusuzuma gahunda Article continuity plan 21: Testing of business

Article 21 : Test du plan de continuité des activités Article 21 : Test du plan de continuité des activités kigenzurwa Ikigo gisuzuma ubumenyingiro, ubumenyi, ubushobozi mu miyoborere ndetse n’ubushobozi bwo gufata ibyemezo by’abakozi bacyo mu bikorwa gahunda y’ikomeza ry’imirimo. gusuzuma byo byacyo, (yaba Ikigo kigenzurwa kigomba, mu buryo ngarukagihe, guteganya kujya cyimurira abantu, ibikorwa ibikorwa n’amakuru abitse ku buryo bw’ikoranabuhanga n’atabitse ku buryo bw’ikoranabuhanga) ahantu hagenewe gusubukurira ibikorwa mu gihe cy’ibiza mu rwego rwo gusuzuma niba gahunda ikora neza no y’ikomeza ry’imirimo kumenya igihe byasaba kugira ngo imirimo yongere ikorwe nk’uko bisanzwe. A regulated institution shall assess skills, knowledge, management and decision making ability of its human resource in the business continuity testing. Une institution réglementée évalue les compétences, les connaissances, la capacité de gestion et de prise de décision de ses ressources humaines dans le processus du test du plan de continuité des activités. people, processes A regulated institution shall consider periodically moving their operations including and resources (IT and non-IT) to the planned Disaster Recovery site (DRS) in order to the business continuity plan test effectiveness and gauge the recovery time needed to bring operations to normal functioning. Une institution réglementée doit envisager de déplacer périodiquement ses opérations, y compris les personnes, les processus et les ressources non- (informatiques informatiques) au site de reprise d’activité en cas de désastre prévu afin de tester l’efficacité du plan de continuité des activités et de mesurer le temps de reprise d’activités nécessaire pour restaurer son fonctionnement à la normale. et Ikigo kigenzurwa gikora ku buryo : A regulated institution shall ensure that: Une institution réglementée veille à ce que: 1º kigira gahunda y’igerageza igaragaza mu buryo burambuye ko uburyo ku cyakwihanganira birebana zacyo z’ingenzi; neza ingaruka cyamenya serivisi na 1° it has a testing plan that details how it shall assure itself that it is able to remain within impact tolerances important business services; for its 1º elle dispose d'un plan de test qui détaille comment elle doit s'assurer qu'elle est en mesure de rester dans les tolérances d'impact pour ses services commerciaux importants ; 2º gusuzuma imicungire y’ikomeza 2° testing of the overall business 2º le test global de la gestion de 59 ry’ibikorwa by’ikigo muri rusange bikorwa nibura rimwe mu mwaka ; continuity management is at minimum conducted at least once a year; continuité des activités d’une institution doit au minimum être effectué au moins une fois par an ; 3º gukora imyitozo buri gihe yo by’amage ibihe kwigana bitandukanye by’igihe gito n’igihe kirekire ku bijyanye n’ibyateza ingorane ikigo mu mirimo yacyo, inkomoko kugira ngo kimenye z’ibyateza ingorane mu mirimo no kugira ngo kimenye ko cyiteguye kuba cyakomeza imirimo yacyo nyuma bikomeye n’ibyoroheje bijyanye n’ibyateza ingorane mu mirimo yacyo; y’ibibazo 3° it conducts stress tests on a regular basis for a variety of protracted short-term and institution-specific and operational risks stress scenarios to identify sources of potential operational risks and to ensure that institution is prepared to continue in business after minor and major operational risk events; 3º il effectue régulièrement des simulations de crise pour divers scénarios de crise à court et à long terme, spécifiques à l'institution et liés aux risques opérationnels, afin d'identifier les sources de risques opérationnels potentiels et de s'assurer que l'institution est prête à poursuivre ses activités après des événements mineurs et majeurs liés aux risques opérationnels ; 4º umubare w’amasuzuma wagombye guterwa n’imiterere y’imirimo ya ngombwa ; 4° the amount of tests is dependent on the criticality of the business process; 4º le nombre de l’importance opérationnels ; tests dépend de processus des 5º inshuro zo gukora imyitozo ku byerekeye y’ingenzi imirimo ziterwa n’uburyo ifitiye akamaro ikigo ndetse kigenzurwa n’imihindagurikire bikanaterwa yaba mu kigo haba imbere cyangwa inyuma yacyo; 5° the frequency of testing for key functional areas is determined by how critical they are to a regulated institution any material changes to a regulated institution’s internal and external environment; and 5º la fréquence des tests pour les fonctionnels clés est domaines leur déterminée en fonction de importance l’institution à réglementée et de tout changement important dans l’environnement interne et externe d’une institution ; 6º habaho isuzuma ry’ireme ry’igenamigambi, ubushobozi bw’abakozi, ndetse na gahunda iboneye y’ikomeza ry’imirimo; 6° there is assessment of the quality of planning, competency of staff and the business effectiveness of continuity plan; 6º il existe une évaluation de la qualité de la planification, de la compétence du personnel et de l’efficacité du plan de continuité des activités; 60 7º habaho ubukangurambaga ku byerekeye gahunda y’ingoboka yihutirwa kandi iryo tsinda ndetse n’abakozi bakaba bamenyereye banasobanukiwe inshingano zabo , ibyo inshingano n’ububasha byabo mu guhangana n’ikibazo; babazwa, procedures 7° there is organizational awareness of emergency and familiarity of team members and staff roles, accountability, responsibilities and authority in response to an incident; their with 8º ibirebana n’ikoranabuhanga, ibikoresho, ubuyobozi na gahunda y’ikomeza ry’imirimo byose biba byarasuzumwe; 8° all technological, logistical and administration aspects of the business continuity plan have been tested; 9º isubukurabikorwa ry’ibikorwa ahakorerwa harimo remezo ibijyana ndetse n’ubuyobozi n’ahakorerwa akazi hanze y’aho gasanzwe gakorerwa ritunganywa; 9° the recovery of infrastructure including command centres and off-site work area is assured; 10º kugaragaza inenge n’ibyanogejwe mu bwo gukomeza imirimo biba igikorwa gihoraho; gutegura uburyo 10° the to opportunity identify shortcomings and improvements to business the continuity readiness is a continuous process; organization’s 7º il et existe conscience une organisationnelle des procédures d’urgence bonne connaissance des membres de l’équipe et du personnel ainsi que leurs et autorité pour réagir à un incident; responsabilités, rôles, une 8º tous les aspects technologiques, logistiques et administratifs du plan de continuité des activités ont été testés; 9º la reprise des infrastructures, y de compris commandement et la zone de travail hors site est assurée; centres les améliorations dans 10º la possibilité d’identifier les lacunes la et les la continuité des préparation à activités de l’organisation est un processus continu; 11º gusuzuma ko abakozi bahari kandi bashobora kwimurwa bikorwa ; 11° the availability and relocation of 11º la disponibilité et la réinstallation du staff is assessed; and personnel est évaluée; 12º inyandiko z’ibyavuye mu isuzuma y’ubutegetsi, Inama abagenzuzi zihabwa ubuyobozi bukuru, 12° the documentation of testing results is made available to the board of senior management, directors, 12º la documentation des résultats des tests est mise à la disposition du la Conseil d’Administration, de 61 n’urwego ngenzuramikorere. auditors and regulators. direction, des auditeurs et des régulateurs. igenda Imyitozo y’igerageza ihinduka hongerwa umubare cyangwa ubwoko ngo bidahari bw’ibikoresho hatangwe serivisi z’ingenzi cyangwa hongerwa igihe igikoresho runaka kimara kitaboneka. kugira Ikigo kigenzurwa kigomba kugira uburyo bwo gukora imyitozo kuri gahunda y’ikomeza ry’imirimo ihuriyeho n’abandi bantu nkenerwa mu mirimo yayo kugira ngo gitange serivisi n’ubufasha bikenewe kugirango imirimo ikomeze hakoreshejwe uburyo buke bushoboka bwateganyijwe mbere y’igihe busabwa. Ikigo kigenzurwa gikoresha abagenzuzi bo mu kigo imbere mu kugenzura niba gahunda y’ikomeza ry’imirimo iboneye. Amasuzuma nyuma y’igihe runaka nka kimwe mu bigize akazi k’ubugenzuzi bwo mu n’ibyayavuyemo n’imyanzuro yabo bigomba kuba biri muri raporo baha inama y’ubutegetsi. imbere kigo Abagenzuzi b’imbere mu kigo bagomba kuba mu by’ikoranabuhanga. abagenzuzi barimo The testing scenarios shall vary by increasing the number or type of resources unavailable for delivering the important business service, or extending the period for which a particular is unavailable. resource Les scénarios de test varient en augmentant le nombre ou le type de ressources non disponibles pour la prestation des services importants, ou en prolongeant la période pendant laquelle une ressource particulière est indisponible. A regulated institution shall consider having a business continuity plan drill planned along with the critical third parties in order to provide services and support to continue with pre-identified minimal required processes. L’institution réglementée doit considérer l’organisation des exercices sur le plan de la continuité des activités planifiée en collaboration avec les tiers essentiels afin de fournir des services et un soutien pour continuer à appliquer les processus minimum pré-identifiés requis. A regulated institution shall involve their internal auditors to audit the effectiveness of business continuity plan. Periodic testing as part of their internal audit work and their findings and recommendations in this regard shall be incorporated in their report to the board of directors. L’institution réglementée doit impliquer ses auditeurs internes dans la vérification de l’efficacité de son plan de continuité des activités. Les tests périodiques faisant partie de leur travail d’audit interne et leurs conclusions et recommandations à cet égard doivent être incorporés dans leur rapport au Conseil d’Administration. The internal auditor shall also include Information Systems Auditors. Les auditeurs internes doivent comprendre les auditeurs en système informatique. Ikigo kigenzurwa kigomba gutegura A regulated institution shall consider L’institution réglementée doit envisager 62 imyitozo yo kwimenyereza gushyira mu bikorwa gahunda y’ikomeza ry’imirimo itarateguwe aho abantu bake cyane n’abakozi bagenwe ari bo baba bazi icyo gikorwa cyo kwimenyereza aho kuba abantu bose cyangwa abakozi bo ku rwego rwo hasi. Hashingiwe ku ibivugwa mu gika kibanziriza iki, ikigo kigenzurwa kigomba kugira “itsinda ry’indorerezi” ryoherezwa aho hantu kugira ngo ritekereze ku n’ibikenewe bisubizo n’amatsinda atandukanye. Hashingiwe kubivuye muri iyo nyigo, ikigo kigenzurwa gisubiramo gahunda yacyo y’ikomeza ry’imirimo kugira ngo ihuzwe n’ibikenewe mu by’ukuri. bishoboka having unplanned business continuity plan drill whereby only a restricted set of people and certain identified personnel may be aware of the drill and not the floor or business personnel. For the purpose of preceding paragraph, a regulated institution shall have a “Lookout Team” deployed at the location to study and assimilate the responses and needs of different teams. Based on the outcome of this study, the regulated institution shall revise its business continuity plan to suit the ground requirements. l’organisation des exercices de mise en situation du plan de continuité des activités inopinés au cours desquels seul un groupe ne restreint de personnes et certains membres du personnel pourraient être au courant de l’exercice et non pas tout le personnel d’affaires. Aux fins de l’alinéa précèdent, l’institution réglementée doit disposer d’une « équipe de vigie » déployée sur place pour étudier et assimiler les réponses et les besoins des différentes équipes. Sur base des résultats de cette étude, l’institution réglementée doit réviser son plan de continuité des activités pour répondre aux besoins du terrain. kigenzurwa rw’ubugenzuzi ikigo Urwego gutegeka amagerageza menshi y’ikomeza ry’imirimo hashingiwe n’imikomerere y’imirimo y’icyo kigo. rushobora gukora ya gahunda ku mwaka ingano ku miterere, The Supervisory authority may order a regulated to conduct more business continuity plan testing per year as based on the nature, size, and complexity. institution L’autorité de contrôle peut ordonner à une institution réglementée de procéder chaque année à un plus grand nombre de tests du plan de continuité, en fonction de la nature, la complexité de la de l’institution. taille et de

Ingingo ya 22: Uburyo bw’igerageza rya gahunda y’ikomeza ry’imirimo Article 22: Business continuity plan testing methods Article 22: Méthodes de test du plan de continuité des activités ICYICIRO CYA IV: IBISABWA MU ISUBUKURABIKORWA SECTION IV: REQUIREMENTS RECOVERY SECTION REPRISE D’ACTIVITÉS IV: EXIGENCES DE Ingingo gukoresha amashami ya 23: Ubufatanye mu Ingingo ya 22: Uburyo bw’igerageza rya gahunda y’ikomeza ry’imirimo Article 22: Business continuity plan testing methods Article 22: Méthodes de test du plan de continuité des activités Ubuyobozi bw’ikigo kigenzurwa bugomba gushyiraho gahunda y’igerageza kuri buri buryo bwo gusuzuma gahunda y’ikomeza regulated The management of institution shall develop a test plan for each business continuity testing method used. the La direction de l’institution réglementée doit élaborer un plan de test pour chaque méthode utilisée pour tester le plan de la 63 ry’imirimo bwakoreshejwe. continuité des activités. Imyitozo y’ikomeza ry’imirimo ikorwa kandi ikagira agaciro hashingiwe ku bihe bikomeye ariko bishoboka birimo ibihe bihagarika imirimo ndetse n’ibibazo. The business continuity exercises shall be conducted and validated for a range of that severe but plausible and disruptive incorporate incidents. scenarios events Les exercices de continuité des activités doivent être menés et validés pour une série de scénarios graves mais plausibles qui incidents intègrent des événements et perturbateurs. Ikigo kigenzurwa gishobora gukoresha bw’imyitozo, uburyo harimo ubu bukurikira : butandukanye regulated A institution may employ various testing methods of exercising including but not limited to: Une institution réglementée peut employer diverses méthodes d'exercice, y compris mais sans s'y limiter : 1° gusuzuma urutonde: urutonde ruriho ibintu byose byerekeye isubukarabikorwa ruhabwa abagize itsinda ry’isubukurabikorwa kugira ngo barusubiremo kandi barebe ko ibiriho bijyanye n’igihe; 2° uburyo bikorwamo bwateguwe: abagize itsinda bashyira mu bikorwa gahunda ziri ku rupapuro kandi bagasubiramo buri cyiciro cyose kugira ngo basuzume niba bimeze bagaragaze ahagomba kongerwamo imbaraga, imbogamizi n’ibibazo; neza, 3° isuzuma ribangikanye: ahantu hagenewe isubukurabikorwa hategurirwa gukoreshwa, ariko ibikorwa nk’uko bigakomeza bisanzwe ahasanzwe hakorerwa ; 1° checklist recovery review: checklists are distributed to all members of recovery to review and ensure that the checklist is current; team contrôle de 1° l’examen de la liste de contrôle: les listes de reprise d’activités sont distribuées à tous les membres de l’équipe de reprise d’activités pour les examiner et s’assurer qu’elles sont actuelles; 2° Structured walkthroughs: Team members physically implement the plans on paper and review each step to assess its effectiveness, identify and enhancements, deficiencies; constraints 2° les les traversées structurées: membres de l’équipe mettent physiquement en œuvre les plans sur papier et examinent chaque étape efficacité, pour identifier les contraintes et les lacunes; son les améliorations, évaluer 3° Parallel test: the recovery site is brought to a state of operational readiness, but operations at the primary site continue normally; 3° le test parallèle: le site de reprise d’activités est mis en état de préparation opérationnelle, mais les opérations sur le site principal continuent à la normale ; 64 ibikorwa 4° isuzuma ryo guhagarika imirimo byose yose: birahagarikwa ahasanzwe hakorerwa bikimurirwa ahantu isubukurabikorwa hagenewe hagendewe gahunda kuri y’isubukurabikorwa ; 5° igerageza nk’aho rikorwa itsinda habaye amage: ryigana ry’isubukurabikorwa n’amage bijyanye ibikorwa yateguwe ariko ntitangize ibikorwa bigomba kubera ahantu hagenewe isubukurabikorwa; 6° amagerageza ahurijwe hamwe yerekeye y’akazi amashami akenerana n’igerageza rigaragaza uko byagenda ku byerekeye aho imirimo yasubukurirwa;. Buri kigo kigenzurwa kigaragaza kandi kigashyira mu nyandiko, inshuro, gahunda cyahisemo n’ibyiciro by’imirimo nyuma gukorerwaho ingaruka ku y’isesengura mirimo. ryerekeye igerageza 4° Full interruption test: operations are shutdown at the primary site and shifted to the recovery site in accordance to the recovery plan; 4° le test d’interruption complète: les opérations sont arrêtées sur le site principal et déplacées au site de reprise d’activités conformément au plan de reprise d’activités ; 5° simulations test: the recovery team disaster activating simulate prepared scenarios without processing at the recovery site; 5° le test de simulation: l’équipe de reprise d’activités simule des scénarios de catastrophe préparés sans activation des opérations sur le site de reprise d’activités; 6° les tests intégrés : pour les départements qui sont dépendants les uns des autres et aussi des tests de résistance des installations de reprise des activités. groupes de Chaque institution réglementée doit définir et documenter la fréquence, le calendrier et les d’activité, sélectionnés pour un test après une analyse approfondie des risques et de l’impact sur les activités. secteurs 6° integrated tests for departments that are dependent on each other testing of recovery and stress facilities. A regulated institution shall define and document frequency, schedule and clusters of business areas, selected for test after a thorough Risk and Business Impact Analysis has been done. 65 ICYICIRO CYA IV: IBISABWA MU ISUBUKURABIKORWA SECTION IV: REQUIREMENTS RECOVERY SECTION REPRISE ACTIVITÉS IV: EXIGENCES DE Ingingo gukoresha amashami ya 23: Ubufatanye mu

Article 23: Reciprocal use of branches Article 23: Utilisation réciproque des branches Article 23: Reciprocal use of branches Article 23: Utilisation réciproque des branches Ibigo bigenzurwa bikoresha amashami yabyo mu kwakira ibikorwa byabyo hagati y’amashami yabyo runaka igihe bigaragara ko hari ikiza gishobora kugwirira ishami kigahagarika ibikorwa byaryo, bigomba kugirana amasezerano yo ku rwego rwa serivisi agenga iyo mikoranire. Regulated institutions which reciprocally use their respective branches to host each other´s operations if a disaster is likely to the strike any branch and operations inoperable, shall have in place service level agreement that governs the arrangement. renders Les institutions réglementées qui utilisent réciproquement leurs branches respectives pour accueillir leurs opérations respectives en cas de catastrophe qui peut frapper une branche et paralyse les opérations, doivent conclure un accord de niveau de service régissant cette opération.

Ingingo ya 24: Kwifashisha undi muntu mu birebana n’ahantu hagenewe isubukurabikorwa mu gihe cy’ibiza Article 24: Outsourcing of disaster recovery site and solutions Article 24 : Externalisation des sites et des solutions de reprise d’activités en cas de sinistre 17 Official Gazette n° 26 of 27/06/2022 n’ibisubizo bijyanye na ryo Ingingo ya 24: Kwifashisha undi muntu mu birebana n’ahantu hagenewe isubukurabikorwa n’ibisubizo bijyanye na ryo Article 24: Outsourcing of disaster recovery site and solutions Article 24: Externalisation des sites et des solutions de reprise d’activités en cas de désastre y’ahantu imicungire Iyo hagenewe isubukurabikorwa yahawe undi umuntu, hagomba kubaho amasezerano yanditse yo ku rwego rwa serivisi hagati y’ikigo kigenzurwa n’umucuruzi cyangwa umuntu wahawe gucunga aho hantu hagenewe isubukurabikorwa bigenwa n’amabwiriza rusange agenga kwifashisha undi muntu mu mirimo. nk’uko recovery In cases where sites are outsourced, there shall be a service level agreement between a regulated institution and vendor or supplier to whom such sites to govern such an are outsourced arrangement by as outsourcing regulation into force. provided for Au cas où des sites de reprise sont externalisées à un fournisseur de service externe, il doit y avoir un contrat signé avec le vendeur ou le fournisseur des clauses sur les niveaux de service pris en charge pour justifier un tel accord tel que prévu par le règlement régissant l’externalisation en vigueur. rushobora rw’ubugenzuzi Urwego gushyiraho amabwiriza agenga igikorwa ku cyo kwifashisha abandi abantu issue The Supervisory authority may Directive governing the outsourcing of recovery sites and solutions. L’autorité de contrôle peut émettre une directive régissant l'externalisation des sites et des solutions de reprise. 66 birebana hagenewe n’ahantu isubukurabikorwa n’ibisubizo bijyanye na ryo.

Ingingo ya 25: Ahantu hagenewe isubukurabikorwa mu gihe cy’ibiza Article 25: Disaster recovery site Article 25 : Site de reprise d’activités en cas de sinistre Ingingo ya 25: Ahantu hagenewe isubukurabikorwa mu gihe cy’ibiza Article 25: Disaster recovery site Article 25 : Site de reprise d’activités en cas de désastre ahantu hamwe Buri kigo kigenzurwa kigomba kugira nibura hagenewe cy’ibiza isubukurabikorwa mu gihe haherereye mu Rwanda kandi hagomba kuba hari byibuze kuri km 45 uvuye ahantu hakorerwa imirmo h’ibanze. Every regulated institution shall have at least one disaster recovery site located in Rwanda and within 45 Km from the primary site. institution réglementée Chaque doit disposer d’au moins un site de reprise d’activités situé au Rwanda et localisée dans au moins 45 Km du site principal. Ahantu hagenewe gusubukurira ibikorwa mu gihe cy’ibiza hagomba: 1° kugabanya ibibazo biterwa n’ibiza kamere umutingito, birimo imyuzure, n’ibiza bituruka mu butaka; The disaster recovery site shall: 1° minimize hazards floods, geological hazards; influences by natural earthquake, including Le site de reprise d’activités en cas de désastre doit: 1° minimiser les influences des risques naturels, y compris les tremblements de terre, les inondations, les risques géologiques ; 2° kuba ahantu hakwiye hadakunda kuba ibyago biterwa n’abantu guturika, iterabwoba, birimo inkongi , imyigaragambyo, ubwandu buturutse ku mirasire, kunyereza umutungo, gushimuta, ubwambuzi n’irigita ry’ubutaka; y’umuriro, 2° be in an appropriate geographic location that prevents the human- caused hazards including terrorism, explosion, protests, fire, contamination, radioactive embezzlement, kidnapping, extortion and subsidence; 2° être situé dans un lieu géographique approprié qui empêche les risques d'origine humaine, y compris le terrorisme, les incendies, , les protestations, la les contamination les détournements enlèvements, les affaissements ; radioactive, fonds, de l'extorsion et les explosions, 3° kuba ari ahantu hashoboka mu 3° be located in accessible place in 3° être situé dans un endroit accessible gutwara ibintu n’abantu; terms of transport; en termes de transport ; 67 4° kuba hari amashanyarazi ahoraho n’uburyo bwo gukonjesha ibintu mu rwego rwo kwirinda ibura ry’umuriro guhagarara no kw’urusobe rwa mudasobwa; 4° have stable power and cooling system to prevent power outage and system shut down; 4° disposer d'une alimentation électrique et d'un système de refroidissement stables afin d'éviter les pannes de courant et l'arrêt du système ; 5° hafite uburyo bwihuta bwo gutahura ibibazo hari impuruza imiterere ndetse y’inyubako ; n’ibiranga 5° have fast detection, monitoring alarm and design on the building; 5° disposer d'un système de détection la l’alarme, et rapide et de conception du bâtiment ; 6° kwemezwa hakurikijwe ibigenderwaho mu kwemeza umutekano w’amakuru kandi uko kwemezwa kukajya kuvugururwa. 6° be certified to information security standards and renewed regularly. according 6° être certifié conformément aux normes de sécurité de l'information et renouvelé régulièrement. Urwego rw’ubugenzuzi rushobora kugena ibisabwa hagenewe by’ahantu ry’ikigo kigenzurwa isubukurabikorwa hashingiwe ku miterere yacyo no ku mikomerere y’imirimo yacyo. The Supervisory authority may prescribe minimum requirements of the disaster recovery site for a regulated institution based on its nature, scale and complexity of its business. L’autorité de contrôle peut prescrire les exigences minimales approprié de site de institution reprise d’activités pour une réglementée en fonction de sa nature, de l'échelle et de complexité de son activité.

Ingingo ya 26: Ibisubizo bijyanye n’isubukurabikorwa Article 26: Recovery solutions Article 26 : Solutions de d’activités reprise ICYICIRO CYA V: ITUMANAHO SECTION V: COMMUNICATIONS SECTION V : COMMUNICATION Ingingo ya 26: Ibisubizo bijyanye n’isubukurabikorwa Ibisubizo bijyana n’isubukurabikorwa bigomba kuba bishingiye ku makuru atangwa n’isesengura ry’ingaruka ku mirimo kandi byarateguriwe muri gahunda ndende y’ibisubizo ku bibazo. Article 26: Recovery solutions Article 26 : Solution de reprise d’activités Recovery solutions shall be based on Business Impact Assessment information and developed through a strategic solutions design process. Les solutions de reprise d’activités doivent être fondées sur les informations provenant de l’analyse d’impact sur les activités et développées via un processus de conception de solutions stratégiques; 68 ICYICIRO CYA V: ITUMANAHO SECTION V: COMMUNICATIONS SECTION V : COMMUNICATION

Ingingo ya 27: Uburyo bwo gutumanaho mu gihe habayeho ihagarika rikomeye ry’imirimo Article 27: Communication procedures in the event of major disruption Article 27 : Communication en cas de perturbations majeures des activités Ingingo ya ryambukiranya habayeho ry’imirimo 28: Itumanaho imipaka mu gihe rikomeye ihagarika 28: Article Cross-border communication in the event of a major operational disruption 28: Article Communication transfrontalière en cas de perturbations majeures III: UMUTWE UKUDAHUNGABANA KW’UBURYO BW’IMIKORERE WA CHAPTER RESILIENCE III: OPERATIONAL CHAPITRE OPÉRATIONNELLE III : RÉSILIENCE Igice cya mbere: Imiyoborere Section one: Governance Section première: Gouvernance Ingingo ya 27: Uburyo bwo gutumanaho mu gihe habayeho ihagarika rikomeye ry’imirimo Article 27: Communication procedures in the event of major disruption Article 27 : Communication en cas de perturbations majeures des activités Ikigo kigenzurwa kigomba kugira uburyo bwo gutumanaho imbere mu kigo ndetse n’abantu bo hanze yacyo mu gihe habayeho ihagarika rikomeye ry’imirimo. regulated A shall have institution procedures designed for both internal and external communication in the event of major disruptions. Une institution réglementée doit avoir des procédures de communication internes et externes en cas de perturbations majeures. Uburyo kigenzurwa bugomba: bw’itumanaho ry’ikigo The communication procedures for a regulated institution shall: Les procédures de communication d’une institution réglementée doivent: 1° kuba bufite gahunda ihamye igaragaza abakozi bashinzwe n’abafatanyabikorwa itumanaho b’imbere ndetse n’abo hanze yacyo; 2° kugaragaza neza uruhererekane rw’ubuyobozi kuva ku nama y’ubutegetsi, kugera ku buyobozi bukuru; itsinda 3° gushyiraho igitabo kirimo abagize ry’isubukurabikorwa rishinzwe n’itsinda byihutirwa; ry’inkeragutabara itsinda harimo imicungire rishinzwe amatsinda n’abatanga servisi za ngombwa; y’amage ibibazo 1° ensure that there is a clear plan identifying staff responsible for and internally communicating externally with stakeholders; 2° outline clearly from the chain of the board of command directors to senior management; 3° develop a directory for all recovery team members including the crisis emergency and management management teams, emergency response teams and critical service providers; 69 1° s’assurer de l’existence d’un plan clair qui le personnel identifie chargé de la communication interne et parties avec externe prenantes ; les 2° décrire clairement la chaîne de commandement à partir du Conseil d’administration la direction; jusqu’à 3° élaborer un répertoire pour tous les membres de l’équipe de reprise des activités, y compris les équipes de gestion de crise et de gestion des urgences, les équipes locales de secours d’urgence et les prestataires de services essentiels; 4° gukora ku buryo igitabo kirimo abagize itsinda kigera kuri buri wese uri muri iryo tsinda; 5° gukemura inzitizi zavuka biturutse ku gupfa kw’itumanaho ry’ibanze (amashanyarazi, telefoni zigendanwa, imihanda); 6° gukurikirana ko ikigo cyashatse ubundi bw’itumanaho bwakoreshwa igihe ubwa mbere bwaba budakunze; buryo 7° gukurikirana ko hari uburyo bwo guhuza n’igihe no gusuzuma urutonde rw’abahamagarwa nibura buri gihembwe; 4° ensure that the directory is made available to all team members; 4° s’assurer que le répertoire est mis à la disposition de tous les membres de l’équipe; 5° address obstacles that may arise primary failure to due communications systems (electricity, mobile phone network, road network); in 5° éliminer les obstacles qui peuvent survenir en cas de panne des systèmes de communications de base de téléphonie mobile, réseau routier) ; (électricité, réseau 6° ensure that the institution has set of alternative modes up communication; 6° s’assurer que l’institution a mis en place des modes de communication alternatifs; 7° ensure regular updating and testing of call trees at least quarterly; 7° s’assurer de la mise à jour et de l’essai réguliers des arbres d’appels au moins trimestriellement; 8° gukurikirana ko kopi za gahunda ry’imirimo zihabwa y’ikomeza abakozi bireba. 8° ensure that copies of business continuity plans are disseminated to the relevant personnel. 8° s’assurer que des copies de plans de continuité des activités sont remises au personnel concerné. Ku bw’igika cya kabiri(2) cy’iyi ngingo, urutonde rw’abahamagarwa bisobanura uburyo butuma hashyirwaho urutonde imiryango bituma rw’abantu cyangwa gahunda bahamagarwa cyangwa y’ihererekanyamakuru itumanaho. muri For the purpose of Paragraph two (2) of this Article, call tree means a system that enables a list of persons or organizations to be contacted as part of an information communication plan. Aux fins de l’alinéa deux(2) du présent article, arbre d’appel signifie un système qui permet d’établir une liste de personnes ou organisations à contacter dans le cadre d’un plan d’information ou de communication. 70 Ingingo ya ryambukiranya habayeho ry’imirimo 28: Itumanaho imipaka mu gihe rikomeye ihagarika 28: Article Cross-border communication in the event of a major operational disruption 28: Article Communication transfrontalière en cas de perturbations majeures Ikigo kigenzurwa gishyiraho uburyo bwo gutumanaho n’ibindi bigo bigenzurwa mu bindi habayeho gihe bihugu mu ihagarikabikorwa rikomeye. A regulated institution shall put in place procedures for communications with regulated institutions in other jurisdictions in the event of a major operational disruption. Uburyo bw’itumanaho imipaka bw’ikigo kigenzurwa bugomba: ryambukiranya border Cross communications mechanisms for a regulated institution shall: Une institution réglementée met en place des procédures de communication avec les institutions réglementées dans d’autres juridictions d’interruption opérationnelle majeure. cas en Les mécanismes transfrontalière réglementée doivent: pour de communication institution une ku ishami 1° kwita ku ngaruka ihagarikwa ry’ibikorwa byacyo mu gihugu kimwe zigira ku kigo cyabyawe n’ikindi, ryacyo cyangwa ku bikorwa gihuriyeho n’ibindi bigo mu bindi bihugu; 2° gushyiraho uburyo bw’itumanaho bwo amakuru, gusangira ibitekerezo, amasesengura hagati y’abanadi bayobozi bari mu bihugu bitandukanye; 3° gushyiraho igitabo kirimo aderesi z’abayobozi b’ibigo by’imari byo mumahanga, nzego z’ubugenzuzi, abashinzwe imari ndetse n’inzobere mu micungire ingorane n’ikomeza y’ibyateza abo mu its 1° take into account the implication of business disruption of operations in one jurisdiction that significantly affect a subsidiary, branch or correspondent operations in other jurisdictions; 2° establish communication procedures for sharing information, views and assessments among authorities based in different jurisdictions; 3° establish a directory of contacts for the various non-domestic financial authorities, supervisory bodies, treasuries, risk management and business continuity specialists; 71 1° tenir compte de l’implication de l’interruption de ses activités dans un pays qui affecte de manière significative une filiale, une branche ou les opérations correspondantes dans d’autres pays; 2° établir procédures de des communication pour le partage d’informations, des opinions et des évaluations entre les autorités basées dans des pays ; les 3° établir un répertoire des contacts pour autorités différentes financières étrangères, organes de supervision, trésoreries, spécialistes de gestion des risques et de continuité des activités; ry’imirimo; 4° gukurikirana ko ibiranga aho bantu babarizwa bihora bihuzwa n’igihe nibura buri gihembwe. 4° ensure contact details are kept up to date on at least on quarterly basis. UMUTWE III: UKUDAHUNGABANA KW’UBURYO BW’IMIKORERE WA CHAPTER RESILIENCE III: OPERATIONAL 4° s’assurer que les détails de contact au moins jour à sont mis trimestriellement. CHAPITRE OPÉRATIONNELLE III : RÉSILIENCE Igice cya mbere: Imiyoborere Section one: Governance Section première: Gouvernance

Ingingo ya 29: Gushyiraho uburyo bwo kwihanganira ibyateza ingorane Article 29: Formulation of risk tolerance Article 29 : Formulation de la tolérance au risque Ingingo ya 29: Gushyiraho uburyo bwo kwihanganira ibyateza ingorane Article 29: Formulation of risk tolerance Article 29 : Formulation de la tolérance au risque Inama y’ubutegetsi y’ikigo kigenzurwa ishyiraho uburyo bwo kwihanganira ibyateza ingorane zahagarika ibikorwa byacyo na serivisi zacyo by’ingenzi. The board of directors of a regulated institution shall formulate risk tolerances for disruption to its critical operations and services. Conseil d'administration Le d'une des institution tolérances au risque pour la perturbation de ses opérations et services essentiels. réglementée formule Kubera ibivugwa mu gika cya mbere cy’iyi ngingo, inama y’ubutegetsi yita ku bintu byinshi byerekana ibibazo bikomeye bishobora kubaho, harimo: For the purpose of paragraph one of this Article, the board of directors shall consider a broad range of severe but plausible scenarios including: Aux fins du l’alinéa premier du présent article, le Conseil d'administration tient compte d’un large éventail de scénarios graves mais plausibles, notamment: 1° gufunga icyorezo; ibikorwa byose kubera 1° lockdown due to pandemics; 1° le confinement en raison d’une pandémie; 2° ibibazo by’umutekano w’urusobe 2° cyber security incidents including: 2° des incidents de cybersécurité, y koranabuhanga birimo: compris : a. ubujura bw’ibyangombwa a. credential and identity theft; a. le vol de titres et d'identité ; n'umwirondoro; 72 b. ubujura bw’amakuru no b. data theft and manipulation; b. le vol et la manipulation de données; kuyakoresha uko bishakiye; c. porogaramu zahagarika zangiza; za mudasobwa kandi ibikorwa c. disruptive malware; and destructive c. les logiciels malveillants perturbateurs et destructeurs ; d. ikoranabuhanga rigenda rivuka: rikurikirana, koranabuhanga ikoranabuhanga amafaranga n'ubwenge bwa mudasobwa; d. emerging cryptocurrency chain, artificial intelligence; and technologies: block and d. les technologies émergentes : chaîne et cryptomonnaie de intelligence artificielle ; et bloc, e. amakuru kuyobya. y’ibinyoma agamije e. disinformation. e. la désinformation. 3° Ibiza kamere. 3° catastrophic natural disasters. 3° les catastrophes naturelles. ingaruka Uburyo bwo kwihanganira bwashyizweho bugomba kuba bujyanye n’uburyo bwunganira ibikorwa by’ingenzi by'ibigo bigenzurwa aho biri hose. The set impact tolerances shall be relevant to the systems and processes supporting regulated institution’s critical operations wherever they are located. Les tolérances d'impact fixées doivent être pertinentes pour les processus opérations essentielles des institutions réglementées, où qu'elles soient situées. les systèmes et les soutenant ingano Imiterere, n’imikomerere by’ibikorwa by’ikigo kigenzurwa bigena uko cyihanganira ingaruka. The nature, scale and complexity of a regulated shall determine its impact tolerances. institution’s activities La nature, la taille et la complexité des activités d'une réglementée déterminent ses tolérances d'impact. institution

Ingingo ya 30: Ishingiro ry’ishyirwaho ry’uburyo bwo kwihanganira ingaruka Article 30: Basis for expression of impact tolerance Article 30: Base de l'expression de la tolérance à l'impact Ingingo ya 30: Ishingiro ry’ishyirwaho ry’uburyo bwo kwihanganira ingaruka Article 30: Basis for expression of impact tolerance Article 30: Base de l'expression de la tolérance à l'impact Ishyirwaho ry’uburyo bwo kwihanganira The expression of impact tolerance shall L'expression de la tolérance à l'impact se 73 ingaruka rishingira ku bipimo byihariye. refer to specific metrics. réfère à des paramètres spécifiques. Ibipimo bigomba kuba birimo: Metrics shall include: Les paramètres comprennent : 1° igihe ntarengwa 1° the maximum tolerable duration; 1° la durée maximale tolérable ; cyakwihanganirwa; 2° ingano y’imirimo yahagarara; 2° the volume of disruption; 2° le volume de perturbation ; 3° urwego rw’ukudahungaba 3° the level of data integrity; 3° le niveau d'intégrité des données ; kw’amakuru; 4° umubare w'abakiriya bagizweho 4° the number of customers affected. 4° le nombre de clients affectés. ingaruka. rushobora rw’ubugenzuzi Urwego gushyiriraho urugero rwo kwihanganira ingaruka ikigo kigenzurwa hashingiwe ku bihe by’ibibazo bikomeye ariko bishobora kubaho. The Supervisory authority may set impact tolerances for a regulated institution within the context of severe, but plausible scenarios. L’autorité de contrôle peut fixer des tolérances pour une institution financière dans le cadre de scénarios graves, mais plausibles.

Ingingo ya 31: Inshingano z'ubuyobozi bukuru Article 31: Responsibilities of senior management Article 31 : Responsabilités de la haute direction Ingingo ya 31: Inshingano z'ubuyobozi bukuru Article 31: Responsibilities of senior management Article 31: Responsabilités de la haute direction Ubuyobozi bukuru bufite inshingano zikurikira zirebana n’ukudahungabana bw’ikigo bw’imikorere kw’uburyo kigenzurwa: The senior management has the following responsibilities operational resilience of a regulated institution: vis-á-vis La Direction générale a les responsabilités résilience suivantes vis-à-vis de institution d'une opérationnelle réglementée : la 1° gushyira mu bikorwa uburyo ukudahungabana bugenga kw’uburyo bw’imikorere; 1° implement the resilience approach; operational 1° mettre en œuvre l'approche de la résilience opérationnelle ; 74 2° gukurikirana ko ikigo kigenzurwa gifite abantu n’ibintu bikenewe hagamijwe ko ikigo kigenzurwa gikomeza gushyira imbaraga mu kw’uburyo ukudahungabana bw’imikorere bwacyo; 2° ensure the appropriate allocation of resources in order to support a regulated overall institution’s operational resilience efforts; and allouées 2° veiller à ce que les ressources techniques et autres de manière les résilience institution financières, soient appropriée afin de soutenir efforts opérationnelle réglementée; et de d'une globaux 3° no guha inama y’ubutegetsi raporo ingorane ingaruka ku y’ikigo yerekeye bishobora kugira mirimo kigenzurwa. y’ingenzi ibyateza 3° provide reports to the board of directors on the ongoing potential risks likely to affect a regulated institution’s critical operations. 3° transmettre des rapports au Conseil les risques d'administration sur potentiels susceptibles actuels d'affecter les opérations essentielles d'une institution réglementée. Inama y’ubutegetsi y’ikigo kigenzurwa bikorwa igenzura by’inshingano gika kibanziriza iki. zivugwa mu ishyirwa mu The board of directors of a regulated the institution implementation above responsibilities. oversee the shall of Conseil d'administration Le d'une institution réglementée supervise la mise en œuvre des responsabilités visées à l’alinéa précédent.

Ingingo ya 32: Kumenyekanisha uburyo Article 32: Communication of Article 32 : Communication de 18 Official Gazette n° 26 of 27/06/2022 bwerekeye kw’uburyo bw’imikorere ukudahungabana operational resilience approach l'approche de résilience opérationnelle Icyiciro cya 2: Gucunga ingorane mu mikorere ibyateza Section 2: Operational risk management Section 2 opérationnel : Gestion du risque Ingingo ya 32: Kumenyekanisha uburyo bwerekeye ukudahungabana kw’uburyo bw’imikorere Article operational resilience approach Communication 32: of Article l'approche de résilience opérationnelle : Communication de 32 Inama y’ubutegetsi ishyiraho uburyo bwo gusobanukirwa mu buryo bwagutse uburyo ikigo gikoresha mu kwihanganira ibibazo mu mikorere yacyo binyuze mu kumenyesha neza intego zacyo impande zose bireba harimo: kigenzurwa The board of directors shall establish a regulated broad understanding of a institution’s resilience operational approach through clear communication of its objectives to all relevant parties including: l'approche de Le Conseil d'administration assure une large compréhension de la résilience opérationnelle d'une institution réglementée par une communication claire de ses objectifs à les parties concernées, notamment : toutes 1° abakozi; 1° personnel; 1° le personnel ; 75 2° abandi bantu; n’ 2° third parties; and 2° les tiers ; et 3° ibigo biri mu itsinda rimwe na cyo. 3° intra-group entities. 3° les entités intra-groupes. Icyiciro cya 2: Gucunga ingorane mu mikorere ibyateza Section 2: Operational risk management Section 2: Gestion du risque opérationnel

Ingingo ya 33: Ubufatanye hagati ya serivisi no kuzihuza Article Collaboration coordination between functions 33 and Article coordination entre les fonctions Collaboration 33 : et Ingingo ya 33: Ubufatanye hagati ya serivisi no kuzihuza Article Collaboration coordination between functions 33 and Article 33 : Collaboration et coordination entre les fonctions n’izindi ibyateza rucunga rukorana ingorane Urwego rw’ikigo nzego z’imirimo mu gucunga no gukemura bishobora ibyateza kubangamira by’ingenzi n’itangwa rya serivisi. ibikorwa ingorane byose kigenzurwa Kubera ibyavuzwe mu gika kibanziriza iki, ikigo ibikorwa bikurikira kugira ngo hatabaho igongana mu ukudahungabana byerekeye kw’uburyo bw’imikorere : gihuza The risk management function of a regulated institution shall work with other relevant functions to manage and address any risks that threaten the delivery of critical operations and services. La fonction de gestion des risques d'une institution réglementée collabore avec les autres fonctions concernées pour gérer et traiter les risques qui menacent l’exécution des opérations et services essentiels. institution For the purposes of preceding paragraph, a ensure regulated the appropriate following to avoid conflict in delivering a consistent operational resilience: coordination with approach shall to fins de réglementée l’alinéa précédent, une Aux institution une coordination appropriée avec les tâches suivantes afin d'éviter le conflit dans la mise en œuvre d'une approche cohérente de la résilience opérationnelle : assure 1° iteganyamigambi ryo gukomeza imirmo; 2° serivisi z’ingenzi zitangwa n’abatari abakozi b’ikigo; 1° business continuity planning; 1° la planification de la continuité des activités ; 2° third-party key service; 2° le service clé d'un tiers ; 3° gahunda yo gusubukura imirimo; 3° recovery planning; and 3° la planification du redressement et de la résolution ; et 76 4° n’ubundi buryo bwo gucunga 4° other relevant risk management 4° les autres cadres pertinents de ibyateza ingorane. frameworks. gestion des risques.

Ingingo ya 34: Amabwiriza asanzwe ariho Article frameworks 34: Existing regulatory Article 34 : Cadres réglementaires existants Igice cya 3: Imikoranire n’uburyo bwo kunganirana Ingingo ya ry’imikoranire kunganirana 35: n’uburyo Igaragazwa bwo ibyateza Ingingo ya 34: Amabwiriza asanzwe ariho Article frameworks 34: Existing regulatory Article 34 existants : Cadres réglementaires Ikigo kigenzurwa kigomba kubahiriza amategeko asanzweho n’amabwiriza ajyanye no gucunga ibyateza ingorane, ubugenzuzi bw’imbere mu kigo no gukoresha imirimo abandi bantu imirimo yacyo ku byerekeye ukudahungabana kw’uburyo bw’imikorere. Igice cya 3: Imikoranire n’uburyo bwo kunganirana Ingingo ya ry’imikoranire kunganirana 35: n’uburyo Igaragazwa bwo Inzego z'imirimo mu kigo kigenzurwa zigomba kugaragaza imikoranire n’uburyo bwo kunganirana biri hagati yazo ku bijyanye n’abantu, ikoranabuhanga, inzira ibintu binyuramo, amakuru n’ibikoresho bikenewe kugira ngo ibikorwa by’ingenzi by’ikigo kigenzurwa bikorwe. A regulated institution shall abide with existing legal and regulatory frameworks as related to risk management, internal control and outsourcing in matters related to operational resilience. Une institution réglementée se conforme aux cadres juridiques et réglementaires existants en matière de gestion des risques, de contrôle interne et de l’externalisation en matière de résilience opérationnelle. Section interdependencies 3: Interconnections and Section interdépendances 3: Interconnexions et Article of interconnections and interdependencies Identification 35: Article des interconnexions et des interdépendances Identification 35: The respective functions within a regulated institution shall map interconnections and interdependencies among them in relation to processes, information and facilities needed to deliver a regulated institution’s critical operations. technology, people, documentent Les fonctions respectives d’une institution réglementée les interconnexions et les interdépendances entre elles concernant les personnes, les technologies, les informations et les installations nécessaires à la réalisation des opérations essentielles de l’institution réglementée. processus, les Uburyo n’amakuru byakoreshejwe mu imikoranire n’uburyo bwo kugaragaza kunganirana bigomba kuba bihagije kugira The approach and details of mapping interdependencies interconnections and regulated for a sufficient shall be L'approche et les détails de la documenter les interconnexions et des interdépendances doivent être suffisants pour permettre à une 77 ngo ikigo kigenzurwa kigaragaze ahari intege nke kandi kinabashe kugerageza ubushobozi bwacyo bwo kuguma mu mbago zo kwihanganira ingaruka ziterwa n’ihagarikwa ry’imirimo, hashingiwe ku cyiyemeje buryo kwirengera ibyagiteza ingorane no ku ishusho y’ibyagiteza ingorane. kigenzurwa ikigo institution to identify vulnerabilities and to support testing of their ability to stay within a risk tolerance for disruption considering a regulated institution’s risk appetite, risk capacity and risk profile. institution’s regulated réglementée d'identifier institution les vulnérabilités et de tester leur capacité à rester dans les limites de la tolérance au risque de perturbation de l’institution réglementée, compte tenu du goût du risque, de la capacité du risque et du profil de risque de l’institution réglementée. ibyateza

Ingingo ya 36: Gusuzuma ingorane bikomotse ku kwishingikiriza ku bandi Section interdependencies 3: Interconnections and Section interdépendances 3: Interconnexions et Article of interconnections and interdependencies Identification 35: Article des interconnexions et des interdépendances Identification 35: Article 36: Third-party dependency risk assessment Article 36 : Évaluation des risques liés à la dépendance d'un tiers Igice cya 4: Imicungire y’ibibazo Section 4: Incidents management Section 4 : Gestion des incidents Ingingo ya 36: Gusuzuma ingorane bikomotse ku kwishingikiriza abandi Article 36: Third-party dependency risk assessment Article 36 : Évaluation des risques liés à la dépendance d'un tiers kigenzurwa Ikigo isuzuma ry’ibyateza ingorane n’igenzura mbere yo gukorana amasezerano n’abandi. gikora A regulated institution shall conduct a risk assessment and due diligence prior to entering into arrangements with the third party. Une institution réglementée procède à une évaluation des risques et à un contrôle préalable avant de conclure des accords avec un tiers. Ikigo kigenzurwa kigenzura niba urundi ruhande muri ayo masezerano rwujuje nibura byerekeye ukudahungabana kw’uburyo bw’imikorere bingana n’ibyacyo mu rwego rwo kurinda ibikorwa by’ingenzi by’ikigo kigenzurwa. ibisabwa A regulated institution shall verify whether the third party to these arrangements has at resilience least equivalent operational conditions regulated to safeguard a institution’s critical operations. Une institution réglementée doit vérifier si le tiers à ces accords dispose au moins des résilience opérationnelle conditions de équivalentes les sauvegarder pour opérations essentielles d'une institution réglementée. Amasezerano n’abandi agomba kubahiriza ibikubiye mu mabwiriza agenga kwifashisha undi muntu mu mirimo. Any arrangement with third party shall comply with the regulation on outsourcing. the provisions of Tout accord avec les tiers doit se conformer aux dispositions du règlement relative à l’externalisation. 78 Igice cya 4: Imicungire y’ibibazo Section 4: Incidents management Section 4 : Gestion des incidents

Ingingo ya 37: Aho imicungire y’ikibazo igarukira Article 37: The scope of management incident Article 37 : Échelle de la gestion des incidents Ingingo ya 37: Aho imicungire y’ikibazo igarukira Article 37: The scope of management incident Article 37 : Échelle de la gestion des incidents Imicungire y’ibibazo irebana n’uko bitangira n’uko birangira, ariko ntigarukira gusa ku: The scope of incidents management shall capture the life cycle of an incident typically including, but not limited to: la gestion des L’échelle de incidents englobe le cycle de vie d'un incident, qui comprend pas exclusivement, les éléments suivants : généralement, mais 1° gushyira mu byiciro ubukana bw’ikibazo bishingiye ku bipimo byashyizweho mbere; 1° the classification of an incident’s severity based on pre-defined criteria; 1° la classification de la gravité d'un sur base de critères incident prédéfinis; 2° gutegura, kubungabunga no kugerageza uburyo bw’imicungire y’ikibazo; no 2° the development, maintenance and testing of incident management procedures; and 2° l’élaboration, le maintien et l'essai des procédures de gestion des incidents ; et rwego 3° gushyira mu bikorwa gahunda rwo y’itumanaho mu kumenyesha ibyabaye abafatanyabikorwa bo mu gihugu ndetse no hanze yacyo harimo n’ Urwego rw’ubugenzuzi. 3° the implementation of to report communication plans incidents internal and external stakeholders including the Supervisory authority. to both 3° la mise en œuvre des plans de communication pour signaler les incidents aux parties prenantes internes et externes, y compris l’autorité de contrôle.

Ingingo ya 38: Gusuzuma uburyo bwo guhangana n’ikibazo n’uburyo bwo gusubukura imirimo Article 38: Review of incident response and recovery procedures Article 38: Révision de réponse aux incidents et des procédures de la reprise d’activités Igice cya 5: itangazabumenyi n’itumanaho Ikoranabuhanga mu Section 5: communication technology Information and Section 5: Technologies de l'information et de la communication 19 ya Politiki Ingingo y’ikoranabuhanga mu itangazabumenyi n’itumanaho 39: Official Gazette n° 26 of 27/06/2022 Ingingo ya 38: Gusuzuma uburyo bwo guhangana n’ikibazo n’uburyo bwo gusubukura imirimo Article 38: Review of incident response and recovery procedures Article 38: Révision de réponse aux incidents et des procédures de la reprise d’activités Ibigo bigenzurwa bigomba kugerageza, gusuzuma no kuvugurura uburyo bwo guhangana n’ikibazo n’ubwo gusubukura The regulated institutions shall test, review and update their incident response and recovery procedures. 79 institutions testent, Les examinent et actualisent leurs procédures de reprise réponse aux incidents et de réglementées imirimo. d’activités. Urwego rw’ubugenzuzi rushobora gutanga amabwiriza yerekeranye n’uburyo bwo kugerageza, gusuzuma no kuvugurura uburyo bwo guhangana n’ikibazo n’ubwo gusubukura imirimo. The Supervisory authority may issue a directive regarding the modalities of testing, reviewing and updating incident response and recovery procedures. L’autorité de contrôle peut émettre une directive concernant les modalités de test, d’examen et d’actualisation des procédures de réponse aux incidents et de reprise d’activités. Igice cya 5: itangazabumenyi n’itumanaho Ikoranabuhanga mu Section 5: communication technology Information and Section 5: Technologies de l'information et de la communication ya Ingingo Politiki y’ikoranabuhanga mu itangazabumenyi n’itumanaho 39:

Article 39: Information communication technology policy Article 39: Politique en matière de technologies de l'information et de la communication Article 39: Information communication technology policy Article 39: Politique en matière de technologies de l'information et de la communication Ikigo kigenzurwa kigomba kugira politiki mu yanditse itangazabumenyi n’itumanaho. y’ikoranabuhanga A regulated institution shall have a documented information communication technology policy. Politiki y’ikoranabuhanga itangazabumenyi n’itumanaho kugaragaza: mu igomba Information communication policy shall state: technology 1° ibisabwa rw’imiyoborere y’ikoranabuhanga mu itumanaho; mu rwego n’imigenzurire 1° information technology oversight requirements; communication and governance Une institution réglementée doit avoir une politique documentée en matière de technologies de l'information et de la communication. La politique en matière de technologies de l'information et de la communication doit indiquer : 1° les en matière de exigences gouvernance et de suivi des technologies de l'information et de la communication ; 2° icyemezo cyo kwirengera no n’ibyateza ibirebana kubazwa ingorane; 2° risk ownership and accountability; 2° l'appropriation des risques et la reddition des comptes; 80 3° ingamba z’umutekano w’amakuru 3° information security measures zirimo nibura ibi bikurikira: including but not limited to: 3° les mesures de de l'information, y compris, mais sans s'y limiter : sécurité a. kugenzura uburyo bwo a. access controls; a. les contrôles d'accès ; kwinjira; b. kurinda amakuru b. critical information asset akomeye;no protection; and b. la protection des actifs d'information importants ; et c. gucunga umwirondoro. c. identity management. c. la gestion de l'identité. 4° ko hagomba ikurikiranabikorwa ngarukagihe w’urusobe koranabuhanga; gukora n’isuzuma by’umutekano 4° periodic evaluation monitoring of cyber controls; and security 4° l'évaluation et le suivi périodiques des contrôles de cybersécurité ; 5° uburyo bwo guhangana n’ibibazo, hamwe na gahunda zo gukomeza imirimo no gusubukura ibikorwa nyuma y’ibiza 5° incident response, as well as business continuity and disaster recovery plans. 5° la réponse aux incidents, ainsi que les plans de continuité des activités et de reprise d’activités en cas de désastre. Ikigo kigenzurwa gisabwa kugira politiki itangazabumenyi y’ikoranabuhanga mu n’itumanaho mu mabwiriza yihariye ntikigengwa n’ibiteganywa muri aya mabwiriza. Regulated institution that is required to have ICT policy under a specific regulation is not subject to the provisions of this regulation. Une institution réglementée qui est tenue d'avoir une politique en matière de TIC en vertu d'un règlement spécifique n’est pas soumise aux dispositions du présent règlement.

Ingingo ya 40: Gutuma abantu benshi kandi bari kure bagera ku makuru Article 40: Implementation of wide-scale remote-access Article 40: Mise en œuvre de l’accès à distance à grande échelle UMUTWE WA ZINYURANYE N’IZISOZA IV : INGINGO CHAPTER IV: MISCELLANEOUS AND FINAL PROVISIONS CHAPITRE DIVERSES ET FINALES III: DISPOSITIONS Ingingo ya 40: Gutuma abantu benshi kandi bari kure bagera ku makuru Article 40: Implementation of wide-scale remote-access Article 40 : Mise en œuvre d'un accès à distance à grande échelle Iyo cyorohereza abantu kugera ku makuru ikigo ari benshi kandi bari kure, When facilitating the implementation of wide-scale remote-access, a regulated Lorsqu'elle rend possible un accès à distance à grande échelle une institution 81 kigenzurwa kigomba gukurikirana ko: institution shall ensure that: réglementée veille à ce que 1° hashyirwaho ingamba zikwiye zo kugabanya ubukana bw’ibyateza ingorane isano n’ihagarikwa ry’imirimo cyangwa ihungabanywa ry’ibikoresho by’ikoranabuhanga ; bifitanye 2° ibyateza ingorane, bifatiwe hamwe n’izi ngamba, bihuje no gukunda kwigerezaho kw’ikigo kigenzurwa ingorane no cyatezwa n’ihagarikwa ry’imirimo; kwihanganira 3° hari uburyo busobanutse neza bwo gucunga umutungo wa kure; 4° amakuru ahora ahuzwa n’igihe. are risk developed 1° appropriate mitigation strategies for potential risks associated with a disruption or compromise of technology and applications; systems 2° the risks, taken together with these strategies, fall within the regulated institution’s risk appetite and risk tolerance for disruption; 3° well defined for management of remote assets; and processes 4° regular updates are made information technology. to 1° des appropriées stratégies d'atténuation des risques soient élaborées pour les risques potentiels liés à une perturbation ou à une compromission des systèmes et applications technologiques ; 2° les risques, pris conjointement avec ces stratégies, tombent dans le goût du l’institution de réglementée et à sa tolérance au risque de perturbation ; risque 3° des processus bien définis de gestion des actifs à distance; et 4° les technologies de l’ l'information et de la communication sont mises à jour. UMUTWE WA ZINYURANYE N’IZISOZA IV : INGINGO CHAPTER IV: MISCELLANEOUS AND FINAL PROVISIONS CHAPITRE DIVERSES ET FINALES III: DISPOSITIONS

Ingingo ya 41: Gushyikiriza raporo ku Rwego rw’ubugenzuzi Article 41: Reports to the supervisory authority Article 41: Rapport à l’autorité de contrôle Ingingo ya 41: Gushyikiriza raporo Urwego rw’ubugennzuzi Article 41: Reports to the Supervisory authority Article 41: Rapport à contrôle l’autorité de Ikigo kigenzurwa kigomba kumenyesha Urwego rw’ubugenzuzi ihagarikabikorwa rikomeye n’ikibazo gikomeye mu gihe cya vuba kandi kitarenze amasaha abiri (2) uhereye igihe icyo gikorwa kibereyeho. A regulated institution shall notify to the Supervisory authority as promptly as interruption and possible any major incidents within a period not exceeding two (2) hours from the occurrence of the L’institution réglementée doit notifier à l’autorité de contrôle aussi rapidement que interruption majeure et possible incident endéans deux (2) heures à compter de la survenance de l’interruption. toute 82 event. Hashingiwe ku bivugwa mu gika cya mbere cy’iyi ngingo, ikigo kigenzurwa kigomba Urwego gushyikiriza rw’ubugenzuzi: 1° raporo yuzuye y’ihagarikabikorwa rikomeye mu gihe cy’amasaha 24 uhereye igikorwa igihe kibereyeho ; For the purpose of paragraph One of this Article, a regulated institution shall submit to the Supervisory authority: Aux fins de l’alinéa premier du présent article, réglementée doit l’institution soumettre à l’autorité de contrôle: 1° the full incident report within 24 hours from the occurrence of the interruption; 1° le rapport complet dans les 24 heures suivant la survenance de l’interruption ; 2° raporo zibanziriza n’izikurikira igeragezwa mu gihe kitarenze iminsi ibiri (2) y’akazi nbere na nyuma y’igerageza; 2° pre and post-test reports and results thereof within a period not exceeding 2 working days before and after the test; 2° les rapports pré et post-test et leurs résultats dans un délai n'excédant pas 2 jours ouvrables avant et après le test ; 3° kopi ya gahunda yo gukomeza imirimo nyuma yo kwemezwa no gusuzumwa mu gihe kitarenze iminsi 15 yakazi; 3° a copy of the business continuity plan after its adoption and its review within a period of 15 working days; 3° une copie du plan de continuité des activités après son adoption et sa révision jours ouvrables ; endéans 15 4° kugerageza buri mwaka gahunda bimaze kwemezwa mu gihe kitarenze iminsi 15 y’akazi; 4° annual testing of plans after its adoption within a period of 15 working days; 4° test annuel des plans après son adoption dans un délai de 15 jours ouvrables ; 5° raporo ya buri ibibazo gihembwe bikomeye igaragaza n’urusobe byerekeranye icyo koranabuhanga cyerekeye gihembwe, zagizweho abakiriya, ingaruka n’ibitaragezweho, hamwe n’ingamba zafashwe mu igice serivisi muri 5° a quarterly reporting of major failures during the period for critical systems, customer segment or services impacted due to the failures and steps taken to avoid such failures in future within 15 days after its approval; 5° un rapport trimestriel signalant des défaillances majeures pour les systèmes critiques au cours de cette période, les segments de clientèle ou les services affectés par les défaillances et les mesures prises afin de les éviter dans l’avenir un délai de 15 jours ouvrables ; 83 rwego rwo kwirinda ko ibyo bibazo byazongera kubaho mu gihe cy’iminsi icumi n’itanu y’akazi imaze kwemezwa; 6° raporo y’umwaka ikorwa ku mpera za buri mwaka w’ingengo ibikorwa y’imari igaragaza by’ingenzi, zabyo n’ingamba z’isubukurabikorwa z’ikigo kigenzurwa zo kuzigeraho mu gihe cy’amazi ane (4) umwaka urangiye. intego 6° an annual report at the end of each financial year describing the critical systems, their recovery objectives regulated a to achieve institution’ strategy them within four (4) months after end of the financial year. and fiscal décrivant 6° un rapport annuel à la fin de chaque exercice les systèmes critiques, leurs objectives de reprise d’activités et la stratégie de l’institution réglementée pour les atteindre dans un délai de quatre(4) mois après la fin de l’année fiscal.

Ingingo ya 42: Ibisabwa bikwiranye n’ikigo kigenzurwa Article 42: Tailored requirements Article 42 : Exigences adaptées Ingingo ya 42: Ibisabwa bikwiranye n’ikigo kigenzurwa Article 42: Tailored requirements Article 42 : Exigences adaptées Ibigo bigenzurwa byubahiriza ibikubiye muri aya mabwiriza rusange, keretse rushizeho rw’ubugenzuzi Urwego amabwiriza agena ibisabwa bikwiranye n’ikigo ku byerekeranye n’imicungire y’ikomeza ry’imirimo n’ukudahungabana bigo bw’imikorere kw’uburyo bigenzurwa byihariye, hashingiwe ku miterere, imikomerere n’iterambere ry’ibikorwa byacyo. ingano, ku requirements Regulated institution shall comply with provisions of this regulation, unless the Supervisory authority issue by a Directive tailored business continuity management and operational resilience to specific regulated institutions size, proportionate complexity and maturity in its business operations. nature, the of to Les institutions réglementées doivent se conformer aux dispositions du présent règlement, l’autorité de contrôle peut par une directive émettre des exigences adaptées en matière de gestion de la continuité des activités et de la résilience opérationnelle aux institutions réglementées spécifiques, proportionnelles à la nature, à la taille, à la complexité et à la maturité de ses activités. Ingingo ya 42: Ibihano byerekeye imyitwarire

Ingingo ya 43: Ibihano byerekeye imyitwarire Article 43: Disciplinary sanctions and penalties Article 43: Sanctions disciplinaires et pénalités Article 43: Disciplinary sanctions and penalties Article 43: Sanctions disciplinaires et pénalités Mu gihe ikigo kigenzurwa kitubahiriza ibiteganywa n’aya mabwiriza rusange, Where a regulated institution fails to satisfy any of the requirements of this Lorsqu’une institution réglementée ne se conforme pas aux exigences du présent 84 Supervisory authority rushobora gufata kimwe mu bihano biteganywa mu ngingo z’amategeko agenga urwego rw’imari kibarizwano cyangwa ibiteganywa mu yandi mabwiriza abigenga. regulation, the Supervisory authority may apply any sanctions available under the provisions of the Law governing the financial sector in which it belongs or relevant regulations. règlement, l’autorité de contrôle peut imposer toute sanction prévue par les dispositions des lois régissant le secteur financier auquel elle appartient ou tout autre règlement y relatif. Bitabangamiye ibivugwa mu gika cya mbere cy’iyi ngingo, ikigo kigenzurwa kitubahirije aya ibivugwa mabwiriza,gishibora guhanishwa ihazabu rikwiranye n’urugero rw’ikosa nk'uko biteganywa w’aya mabwiriza. n’umugereka muri the provisions of Notwithstanding the Paragraph One of this Article, the regulated institution failing to comply with this regulation may be subject to pecuniary sanctions appropriate to the violation as provided for in the appendix of this regulation. Sans préjudice de l’alinéa premier du présent article, l'institution réglementée qui ne respecte pas les dispositions du présent règlement peut être est passible de sanctions pécuniaires appropriées à la violation, comme prévu à l'annexe du présent règlement. Ihazabu ikwiranye n’icyiciro cy’ikigo kigenzurwa, ingaruka z’ikosa ku rwego rw’imari, igihombo ryateje abakiriya, kuba ikosa ryarakozwe nkana cyangwa kubera ikibazo uburangare kimwe no kuba inshuro zarabaye ingorane cyabgwa zirenze imwe. shall sanction pecuniary The be proportionate to the category of a regulated institution, the effect of the violation to the financial system, the customer; whether the violation was deliberate or reckless as well as repetitive occurrence of the event/incidents. loss caused to La sanction pécuniaire est proportionnelle à la catégorie de l’institution réglementée, à l’effet de la violation sur le système financier, au préjudice causé au client, au caractère délibéré ou imprudent de la violation ainsi qu'au caractère répétitif de l'événement/des incidents.

Ingingo ya 44: Igihe cy’inzibacyuho Article 44: Transitional period Article 44 : Période de transition Ingingo ya 44: Igihe cy’inzibacyuho Article 44: Transitional period Article 44 : Période de transition biturubahiriza Ibigo bigenzurwa ibiteganwa n’aya mabwiriza rusange bihawe igihe cy’umwaka umwe kugira ngo byubahirize ibiteganywa n’aya mabwiriza rusange uhereye igihe atangarijwe mu Igazeti ya Leta ya Repubulika y’u Rwanda. Regulated institutions that do not comply with the provisions of this regulation are given a period of One year to comply with the provisions of this regulation from the date of its publication in the Official Gazette of the Republic of Rwanda. Les institutions réglementées qui ne se conforment pas aux dispositions du présent règlement disposent d'un délai d'un an pour se conformer aux dispositions du présent jour de sa règlement à compter du publication au Journal officiel de la République du Rwanda. 85

Ingingo ya 45: Ivanwaho ry’ingingo zinyuranyije n’aya mabwiriza Article 45: Repealing of inconsistent provisions Article 45: Disposition abrogatoire Ingingo ya 45: Ivanwaho ry’ingingo zinyuranyije n’aya mabwiriza Article 45: Repealing of inconsistent provisions Article 45: Disposition abrogatoire 2018 Amabwiriza rusange no 04/2018 yo ku wa 24/01/ imicungire ry’imirimo n’ingingo zose y’ikomeza z’amabwiriza kandi zinyuranyije nayo zivanyweho. abanziriza yerekeye aya Regulation N° 04/2018 of 24/01/ 2018 on business continuity management and all prior provisions contrary to this regulation are hereby repealed. Le Règlement no 04/2018 du 24/01/ 2018 sur la gestion de la continuité des activités les dispositions antérieures et contraires au présent règlement sont abrogées. toutes

Ingingo ya 46: Itegurwa, isuzumwa n’iyemezwa ry’aya mabwiriza rusange Article 46: Drafting, consideration and approval of this regulation Article 46: approbation du présent règlement Initiation, examen et Ingingo ya 46: Itegurwa, isuzumwa n’iyemezwa ry’aya mabwiriza rusange Article 46: Drafting, consideration and approval of this regulation Article 46: approbation du présent règlement Initiation, examen et yateguwe, Aya mabwiriza asuzumwa kandi yemezwa mu rurimi rw’icyongereza. rusange

Ingingo ya 47: Igihe aya mabwiriza atangirira gukurikizwa Article 47: Commencement Article 47: Entrée en vigueur 20 AMABWIRIZA No 43 /2022 YO KU WA 02/06/2022 RUSANGE AGENGA IMICUNGIRE Y’IKOMEZA RY’IMIRIMO N’UKUDAHUNGABANA K’UBURYO BIGO BW’IMIKORERE BIGENZURWA MU Ishingiye ku Itegeko N° 48/2017 ryo ku wa 23/09/2017 rigenga Banki Nkuru y’u Rwanda nk’uko ryahinduwe kugeza ubu, cyane cyane mu ngingo zaryo, iya 6, iya 6 bis , iya 8, iya 9 ; iya 10 n’iya 15; Ishingiye ku Itegeko N° 47/2017 ryo ku wa 23/09/2017 imitunganyirize y’imirimo y’amabanki, cyane cyane mu ngingo zaryo, iya 37 n’iya 117; rigena Ishingiye ku Itegeko N° 030/2021 ryo ku wa 30/06/2021 rigenga imitunganyirize y’umurimo w’ubwishingizi cyane cyane mu ngingo zaryo, iya 56, iya 57 n’iya 60 n’iya 82; Iashingiye ku Itegeko N° 05/2015 ryo ku wa 30/03/2015 rigenga imitunganyirize y’ubwiteganyirize bwa pansiyo cyane cyane mu ngingo yayo ya 3; REGULATION No 43/2022 OF 02/06/2022 GOVERNING BUSINESS CONTINUITY MANAGEMENT AND OPERATIONAL RESILIENCE FOR REGULATED INSTITUTIONS 43/2022 No RÈGLEMENT DU 02/06/2022 RÉGISSANT LA GESTION DE LA CONTINUITÉ DES ACTIVITÉS RÉSILIENCE ET OPÉRATIONNELLE LES DANS INSTITUTIONS RÉGLEMENTÉES LA Pursuant to Law N° 48/2017 of 23/09/2017 governing the National Bank of Rwanda as amended to date, especially in its Articles 6, 6 bis, 8, 9; 10 and 15; Vu la Loi N° 48/2017 du 23/09/2017 régissant la Banque Nationale du Rwanda telle que modifiée à ce jour, spécialement en ses articles 6, 6 bis, 8, 9 ; 10 and 15 ; Pursuant to Law N° 47/2017 of 23/09/2017 governing the organization of banking, especially in its Articles 37 and 117; Vu la Loi N° 47/2017 du 23/09/2017 portant organisation bancaire, spécialement en ses articles 37 et 117 ; l’activité de to Law N° 030/2021 of Pursuant 30/06/2021 governing the organisation of insurance business, especially in its articles 56, 57, 58, 60 and 82; Vu la Loi N° 030/2021 du 30/06/2021 régissant d’activité l’organisation d’assurance, spécialement en ses articles 56, 57, 58, 60 et 82 ; Pursuant to Law N° 05/2015 of 30/03/2015 governing the organization of pension schemes especially in its article 3; Vu la Loi N° 05/2015 du 30/03/2015 régissant l’organisation des régimes de pension spécialement en son article 3 ; Ishingiye ku Itegeko N° 072/2021 ryo ku wa 05/11/2021 rigenga ibigo by’imari iciriritse byakira amafaranga abitswa, 072/2021 of Pursuant 05/11/2021 deposit-taking microfinance institutions, especially in its to Law N° governing Vu Loi N° 072/2021 du 05/11/2021 régissant les institutions de microfinance de dépôt, spécialement en ses articles 23 et 24 ; 21 cyane cyane mu ngingo zaryo, iya 23 n’iya 24; articles 23 and 24; Ishingiye ku Itegeko N° 061/2021 ryo ku wa 14/10/2021 rigenga uburyo bwo kwishyurana, cyane cyane mu ngingo yaryo ya 8 ; Ishingiye ku Itegeko Nº 73/2018 ryo ku wa uburyo 31/08/2018 bw’ihererekanyamakuru ku myenda cyane cyane mu ngingo iya 9, iya 13 n’iya 23; rigena Law N° 061/2021 of 14/10/2021 governing the payment system, especially in its Ingingo ya 47: Igihe aya mabwiriza atangirira gukurikizwa This Regulation was drafted, considered and approved in English. Le présent règlement a été initié, examiné et approuvé en anglais. Article 47: Commencement Article 47: Entrée en vigueur Aya mabwiriza atangira gukurikizwa ku munsi atangarijweho mu Igazeti ya Leta ya Repubulika y’u Rwanda. This regulation shall come into force on the date of its publication in the Official Gazette of the Republic of Rwanda. Le présent règlement entre en vigueur le jour de sa publication au Journal Officiel de la République du Rwanda. 86 Kigali, 02/06/2022 (sé) RWANGOMBWA John Guverineri Governor Gouverneur Bibonywe kandi bishyizweho ikirango cya Repubulika: Sean and sealed with the Seal of the Republic: Vu et scellé du Sceau de la République: (sé) Dr UGIRASHEBUJA Emmanuel Minisitiri w’Ubutabera akaba n’Intumwa Nkuru ya Leta Minister of Justice and Attorney General Ministre de la Justice et Garde des Sceaux 87 UMUGEREKA- Amakosa n’ibihano by’ihazabu bikwiranye na yo Ikosa No Banki Ushinzwe imikoreshereze y’uburyo bwo kwishyurana/ Utanga serivisi z’ibiro by’amakuru ku myenda Ubwishingizi Ubwiteganyirize pansiyo bwa butegetswe Ubwiteganyirize bwa pansiyo ku bushake Abatang a serivisi z’ubwite ganyirize Sosiyete y’imari iciriritse yakira amafaran ga abitswa/ Abatanga amafaran ga ari mu buryo bw’ikoran abuhanga 500.000 Koperative y’imari iciriritse yakira amafaranga abitswa Ibiro by’ivunjisha /Abahuza mu bwishingizi /Abandi batanga serivisi z’imari 300.000 200.000 1. Kutagira politiki y’imicungire y’ikomeza ry’imirimo (BCM) irimo ibisabwa byose 2. Kudakora isesengura ry’ingaruka ku mirimo (BIA) 3. Kutagira gahunda 4 zihamye z’ikomeza ry’imirimo (BCP) Kutagira imirimo, serivisi cyangwa uburyo by’isubukurabikorwa hashingiwe ku ntego z’igihe cy’isubukura zashyizweho 5. Kutagira ahantu ho kwimukira mu gihe cy’amage (DRS) hujuje ibisabwa 6. Kutagira ahantu ho kwimukira mu gihe 5.000.000 2.000.000 1.000.000 1.000.000 300.000 500.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000,000 1.000,000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 88 cy’amage hari ku ntera isabwa 7. Kutagerageza BCP harimo na DRS 8. Kutageza mu gihe gikwiye amakuru yari ari ahasanzwe hakorerwa ahantu ho kwimukira mu gihe cy’amage 9. Kutagira itsinda rishinzwe imicungire y’amage rifite ubushobozi 10. Kutagira uburyo bwo gucunga ibibazo 11. Kutagira uburyo bwiza bw’itumanaho serivisi 12. Gukererwa gusubukura ibikorwa, n’uburyo bw’imikorere bigira ingaruka ku bakiriya hakurikijwe intego z’igihe cy’isubukura zashyizweho 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000,000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5..000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1,000,000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1,000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 0,1% by’inyungu ibikorwa yose byinjije (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuva 2 ku masaha kugeza ku masaha 4. 0,1% by’amafaranga yishyuwe n’uwishingiwe (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuva masaha kugeza masaha 4. ku 2 ku 0,1% by’inyungu yose (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) 0,1% by’amafaranga yinjijwe n’ibikorwa by’ishoramari (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuva 2 ku masaha ku kugeza masaha 4. raporo 0,1% by’inyungu yose ibikorwa byinjije (hakurikijw e y’imari y’umwaka ushize yagenzuwe) ku kuva masaha 2 kugeza ku masaha 4. yose 0,1% by’inyung u ibikorwa byinjije (hakurikij we raporo y’imari y’umwaka ushize yagenzuwe ) kuva ku masaha 2 kugeza ku masaha 4. 0,1% by’inyun gu yose ibikorwa byinjije (hakurikij we raporo y’imari y’umwak a ushize yagenzu we) kuva ku masaha 2 kugeza ku masaha 4. 0,1% by’inyungu yose ibikorwa byinjije (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuva masaha kugeza masaha 4. ku 2 ku 0,1% by’inyungu yose ibikorwa byinjije (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuva masaha kugeza masaha 4. ku 2 ku 0,005% by’amafara nga yose 0,005% by’amafaranga yose ibikorwa 0,005% by’amafaranga yishyurwa 0,005% by’amafaranga yinjijwe 0,005% by’inyungu ibikorwa byinjije 0,005% by’inyun gu 0,005% by’amafara yose nga 0,005% by’amafarang yose a 0,005% by’amafarang yose a 89 ibikorwa byinjije (hakurikij we raporo y’imari y’umwak a ushize yagenzu we) kuri buri saha nyuma y’amasah a 4 kugeza habaye isubukura 200.000 ibikorwa byinjije (hakurikij we raporo y’imari y’umwaka ushize yagenzuwe ) kuri buri saha nyuma y’amasaha 4 kugeza habaye isubukura. ibikorwa byinjije (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuri buri saha nyuma y’amasaha 4 kugeza habaye isubukura. ibikorwa byinjije (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuri buri saha nyuma y’amasaha 4 kugeza habaye isubukura. 200.000 200.000 100.000 byinjije (hakurikijwe y’imari raporo y’umwaka ushize yagenzuwe) kuri buri saha nyuma 4 y’amasaha kugeza habaye isubukura. n’uwishingiwe (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) isaha ku kugeza habaye isubukura. n’ibikorwa by’ishoramari (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) ku kugeza isaha habaye isubukura. (hakurikijwe raporo y’imari y’umwaka ushize yagenzuwe) kuri buri saha nyuma 4 y’amasaha habaye kugeza isubukura. raporo ibikorwa byinjije (hakurikijw e y’imari y’umwaka ushize yagenzuwe) kuri buri saha nyuma y’amasaha 4 habaye isubukura. kugeza 1.000.000 500.000 500.000 500.000 500.000 ibindi 13 Kutubahiriza bisabwa n’amabwiriza bivugwa muri aya mabwiriza 90 APPENDIX- Violations and their corresponding pecuniary sanctions Violation Bank No of Operator Payment system/ of Operator Credit Bureau Insurance Mandatory pension scheme Voluntary pension scheme Pension Service Provider Deposits Taking MF company/E- Money issuer Forex bureau/Insuran ce Brokers/Other Financial Services Providers Deposit-taking microfinance cooperative 1. Failure to have a 5,000,000 2,000,000 1,000,000 1,000,000 300,000 500,000 500,000 300,000 200,000 Business Continuity Management (BCM) Policy that cover all requirements 2. Failure to undertake Business Impact Analysis(BIA) 3. Failure to have an effective Business Continuity Plans( BCPs) Failure to recover operations, services or systems as per the set Recovery Time Objectives 4 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 5. Failure to have a 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 Disaster Recovery Site(DRS) that meet the requirements 6. Failure to locate Disaster Recovery 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 91 Site within the required distance 7. Failure to test the BCPs including DRS 8. Failure to ensure real-time data replication between primary site and disaster recovery site 9. Failure to have an effective Crisis Management Team 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 5,000,000 3,000,000 1,000,00 1,000,000 200,000 500,000 500,000 200,000 100,000 10. Failure to have an 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,00 incident management procedures 11. Failure to have an effective communication procedures 12. Delays to resume business critical operations, services or system the impacting customers as per the set Recovery Time Objectives 5,000,000 3,000,000 1,000,000 1,000,000 200,000 500,000 500,000 200,000 100,000 total 0.1% of operating income ( as per previous the audited year financial statements)from 2 to hours 4hours. net 0.1% earned premiums ( as per the previous year audited financial statements) of 0.1% total net income ( as per the previous year 0.1% of total net investment income ( as per the previous year audited financial statements )from 2 hours to 4hours. 0.1% of total operating income ( as per previous the audited year financial statements )from 2 hours to 4hours. 0.1% of total operating income ( as per the previous year audited financial statements) from 2 hours to 4hours. 0.1% of total operating income the ( as per previous year audited financial statements) from 2 to hours 4hours. 0.1% of total operating income the ( as per previous year audited financial statements) from 2 to hours 4hours. 0.1%of total operating income ( as per the previous year audited financial statement s) from 2 hours to 4 hours. 92 0.005% of total operating income( as per the previous year audited financial statement s) per each hour after 4 hours up to the resumptio n 1,000,000 0.005 % of total operating income( as per previous the year audited financial statements ) per each hour after 4 hours up to the resumption 0.005 % of net earned premium ( as per the previous year audited financial statements) per hour up to the resumption 0.005 % of total net investment income ( as per the previous year audited financial statements) per hour up to the resumption 0.005 % of total operating income( as per the previous year audited financial statements ) per each hour after 4 hours up to the resumption 0.005 % of total operating income( as per previous the year audited financial ) statements per each hour after 4 hours up the to resumption 0.005 % of total operating as income( per the previous year audited financial statements ) per each hour after 4 hours the to up resumption 0.005 % of gross operating income( as per the previous year audited financial statements ) per each hour after 4 hours up to the resumption 0.005 % of total operating income( as per the previous year audited financial statements) per each hour after 4 hours up to the resumption 500,000 500,000 500,000 500,000 200,000 200,000 200,000 100,000 to meet other 13 Failure any regulatory requirements provided in regulation this 93 Annexe - Violations et sanctions pécuniaires appropriées Violation Banque No Assuranc e Opérateur du de system paiement / Opérateur du bureau de crédit Régime pension obligatoire de Régime de pension volontaire Prestataires de de pension services 5.000.000 2.000.000 1.000.000 1.000.000 300.000 500.000 Société de microfinance de dépôt/ Émetteurs de monnaie électronique 500.000 Coopérative de microfinance de dépôt de Bureau change/Courtiers d'assurance/ Autres prestataires de services financiers 300.000 200.000 1. 2. 3. 4 5. 6. Absence d'une politique de gestion de la continuité des activités qui couvre toutes les exigences Absence d'analyse de l'impact sur les activités Absence de plans de continuité des activités (BCP) efficaces Absence de reprise des opérations, services ou systèmes conformément aux objectifs de délai de reprise Absence d'un site de reprise d’activités après sinistre répondant aux exigences Impossibilité de localiser un site de reprise d’activités en cas de désastre sinistre (DRS) à la distance requise 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 94 7. 8. 9. Incapacité de tester les BCP, y compris le DRS Incapacité à assurer la reproduction des données en temps réel entre le site principal et le site de reprise d’activités en cas de désastre Absence d'une équipe de gestion de crise efficace 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 5.000.000 3.000.000 1.000.00 1.000.000 200.000 500.000 500.000 200.000 100.000 10. Absence de 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 procédures de gestion des incidents 11. Absence de 5.000.000 3.000.000 1.000.000 1.000.000 200.000 500.000 500.000 200.000 100.000 procédures de communication efficaces dans la 12. Retards reprise des opérations, services ou systèmes commerciaux essentiels ayant un impact les clients, conformément aux objectifs de délai de reprise fixés sur 0,1 % du total des revenus d'exploitatio n total (selon les états financiers audités l'année précédente) de 2 à 4 heures. de 0,1 % du total des revenus d'exploitation (selon les états financiers audités l'année précédente) de 2 à 4 heures. de les 0,1 % de primes nettes acquises (selon états financiers audités de l'année précédente ) 0,005% du revenu d'exploitatio n (selon les 0,005 % du revenu d'exploitation (selon les états 0,005 % de primes nettes acquises 0,1% du revenu net total (comme l'année précédente) du 0,1 % net revenu des total investissemen ts (selon les états financiers audités l'année précédente) de 2 à 4 heures. de 0,1% du total des revenus d'exploitation (selon les états financiers audités l'année précédente) de 2 à 4 heures. de 0,1% du total des revenus d'exploitation (selon les états financiers audités l'année précédente) de 2 à 4 heures. de 0,1 % du total des revenus d'exploitation (selon les états financiers audités de l'année précédente) de 2 à 4 heures. 0,1 % du total des revenus d'exploitation (selon les états financiers audités de l'année précédente) de 2 à 4 heures. 0,005 % du net revenu total des investissemen 0,005 % du revenu d'exploitati on (selon 0,005 % du revenu d'exploitation les (selon 0,005 % du revenu d'exploitation les (selon 0,005 % du revenu d'exploitation brut (selon états les financiers audités de 95 du brut 0,005 % revenu d'exploitation (selon les états de états financiers audités l'année précédente) par après heures jusqu'à reprise heure 4 la de financiers audités l'année précédente) par heure après heures 4 la jusqu'à reprise les (selon états financiers audités de l'année précédente ) par heure jusqu'à la reprise de ts (selon les états financiers audités l'année précédente) par jusqu'à reprise heure la états les financiers audités de l'année précédente) heure par 4 après heures jusqu'à reprise la de états financiers audités l'année précédente) par heure après 4 heures jusqu'à la reprise de états financiers audités l'année précédente) par heure après 4 heures jusqu'à la reprise l'année précédente) par heure après 4 la heures reprise jusqu'à financiers audités de l'année précédente) par heure après 4 heures jusqu'à la reprise 1.000.000 500.000 500.000 500.000 500.000 200.000 200.000 200.000 100.000 13. Non-conformité à toute autre exigence réglementaire prévue présent règlement dans le BIBONYWE KUGIRANGO BISHYIRWE KU MUGEREKA W’AMABWIRIZA RUSANGE No43/2022 YO KU WA 02/06/2022 AGENGA IMICUNGIRE Y’IKOMEZA RY’IMIRIMO N’UKUDAHUNGABANA K’UBURYO BW’IMIKORERE MU BIGO BIGENZURWA SEEN TO BE ANNEXED ON REGULATION No 43/2022 OF 02/06/2022 GOVERNING BUSINESS CONTINUITY MANAGEMENT AND OPERATIONAL RESILIENCE FOR REGULATED INSTITUTIONS VU POUR ETRE ANNEXE AU RÈGLEMENT No43/2022 DU 02/06/2022 RÉGISSANT LA GESTION DE LA CONTINUITÉ DES ACTIVITÉS ET LA RÉSILIENCE OPÉRATIONNELLE DANS LES INSTITUTIONS RÉGLEMENTÉES 96 Kigali, 02/06/2022 (sé) RWANGOMBWA John Guverineri Governor Gouverneur Bibonywe kandi bishyizweho ikirango cya Repubulika: Sean and sealed with the Seal of the Republic: Vu et scellé du Sceau de la République: (sé) Dr UGIRASHEBUJA Emmanuel Minisitiri w’Ubutabera akaba n’Intumwa Nkuru ya Leta Minister of Justice and Attorney General Ministre de la Justice et Garde des Sceaux 97