English: (2) It is a sound business and financial practice for a member institution to have procedures and controls for managing the operational risk that is inherent in the operations of the institution, including (a) a human resource management program that encompasses (i) an ongoing, appropriate and effective process to attract and retain a sufficient number of qualified personnel to achieve the institution's business objectives and implement the institution's business strategy and business plans,  (ii) defined and prudent levels of decision-making authority,  (iii) the segregation of incompatible functional responsibilities,  (iv) the clear communication to personnel of their responsibilities, and  (v) the effective supervision of personnel; (b) documentation of the institution's significant processes, policies, procedures and controls; (c) valuation methods and accounting principles for the appropriate valuation of and accounting for the institution's assets and liabilities, both on- and off-balance sheet; (d) accurate and complete records of financial and other key information; (e) management information systems that provide timely, relevant, accurate and complete information to facilitate the day-to-day management of the institution's operations and of the risks to which the institution is exposed; (f) ongoing, appropriate and effective technology development and maintenance processes for ensuring that the institution's technology is, and continues to be, aligned with its business objectives, business strategy, business plans, operational needs and management of the risks to which it is exposed, that the institution's technology is authorized, tested and documented before it is introduced, and that the institution's technology is updated when necessary; (g) appropriate and effective security procedures and controls for safeguarding the institution's records of financial and other key information, the institution's technology and the information recorded, processed, reported and stored using that technology, including procedures and controls for safeguarding their integrity; and (h) ongoing, appropriate and effective business continuity plans, including backup and recovery processes and standby arrangements for dealing with the loss of availability or the destruction of critical information or critical technology.
French: (2) Constitue une pratique commerciale et financière saine le fait, pour une institution membre, d'élaborer des procédures et des mesures de contrôle pour gérer les risques d'exploitation qui sont inhérents à ses activités, notamment : a) un programme de gestion des ressources humaines qui comporte ce qui suit : (i) un processus permanent, adéquat et efficace en vue de recruter et de retenir un nombre suffisant d'employés qualifiés, qui permette à l'institution d'atteindre ses objectifs commerciaux et de mettre en œuvre sa stratégie d'entreprise et ses plans d'exploitation,  (ii) la délimitation prudente des pouvoirs décisionnels,  (iii) la séparation des responsabilités fonctionnelles incompatibles,  (iv) la communication claire aux employés de leurs responsabilités,  (v) la supervision efficace des employés; b) la mise par écrit des processus, politiques, procédures et mesures de contrôle importants de l'institution; c) des méthodes d'évaluation et des principes comptables qui permettent d'évaluer et de comptabiliser de manière adéquate les éléments d'actif et de passif de l'institution, figurant au bilan ou hors bilan; d) des registres exacts et complets des données financières et autres renseignements clés; e) des systèmes d'information de gestion qui fournissent, en temps utile, des informations pertinentes, exactes et complètes en vue de faciliter la gestion courante des activités de l'institution et des risques auxquels elle est exposée; f) des processus permanents, adéquats et efficaces de développement et d'entretien techniques en vue d'assurer que les moyens techniques de l'institution cadrent toujours avec ses objectifs commerciaux, sa stratégie d'entreprise et ses plans d'exploitation, les exigences de ses activités et la gestion des risques auxquels elle est exposée, qu'ils sont autorisés, testés et mis par écrit avant leur mise en place et qu'ils sont mis à niveau au besoin; g) des procédures de sécurité et des mesures de contrôle adéquates et efficaces en vue de préserver tant les registres des données financières et autres renseignements clés, les moyens techniques de l'institution et les données que ces moyens permettent d'enregistrer, de traiter, de communiquer et de stocker que leur intégrité; h) des plans de poursuite des activités permanents, adéquats et efficaces, y compris des processus de sauvegarde et de restauration et des dispositifs de secours en vue de faire face à l'inaccessibilité ou à la perte de données cruciales ou de moyens techniques cruciaux.