3.1 Общи положения

Компетентните органи следва да преценят дали институцията е идентифицирала, оценила и редуцирала надлежно рисковете, свързани с ИКТ. Този процес трябва да бъде част от рамката за управление на операционния риск и да съответства на подхода, приложим към операционния риск.

Компетентните органи първо трябва да идентифицират съществените присъщи рискове за ИКТ, на които институцията е или може да бъде изложена, последвано от оценка на ефективността на рамката, процедурите и механизмите за контрол на институцията за управление на рисковете за ИКТ с цел редуциране на тези рискове. Резултатът от оценката трябва да бъде отразен в обобщение на констатациите, което се използва в оценката на операционния риск съгласно Насоките относно ПНПО. Когато рискът за ИКТ се счита за съществен и компетентните органи желаят да определят индивидуален резултат, тогава таблица 1 следва да се използва за определяне на оценка като рискова подкатегория на операционния риск.

При извършване на оценката съгласно настоящия дял компетентните органи следва да използват всички налични източници на информация, както е посочено в параграф 127 от дял 6 от Насоките за ЕБО за ПНПО, например дейностите по управление на риска на институцията, отчитането и резултатите, като основа за определяне на приоритетите на тяхната надзорна оценка. Компетентните органи следва да използват и други източници на информация за извършване на тази оценка, включително следното, където е уместно:

• а) самооценка на рисковете и механизмите за контрол за ИКТ (ако е предоставена в информацията за процеса за вътрешна оценка на адекватността на капитала (ВААК);
• б) свързаната с ИКТ управленска информация (УИ), предоставена на ръководния орган на институцията, например периодично и произтичащо от инциденти докладване на риска за ИКТ (включително в базата данни за загубите от операционен риск), данни за рисковата експозиция към ИКТ от функцията на управлението на риска на институцията;
• в) свързаните с ИКТ констатации от вътрешния и външния одит, които се докладват на одитния комитет на институцията.