Дял 1 — Общи разпоредби

Компетентните органи следва да извършват оценката на риска за ИКТ и договореностите за управление и стратегията за ИКТ като част от процеса на ПНПО в съответствие с модела на минимална ангажираност и критериите за пропорционалност, определени в дял 2 от Насоките на ЕБО относно ПНПО. По - конкретно, това означава, че:

• а) честотата на оценката на риска за ИКТ би зависила от модела на минимална ангажираност, според определената категория на институцията по ПНПО, както и специфичната за нея програма за извършване на надзорни проверки; и
• б) дълбочината, детайлите и интензивността на оценката на ИКТ следва да бъдат пропорционални на размера, структурата и оперативната среда на институцията, както и на естеството, мащаба и сложността на нейните дейности.

Принципът на пропорционалност се прилага в настоящите насоки по отношение на обхвата, честотата и интензивността на надзорните ангажименти и диалога с институцията и надзорните изисквания за стандартите, които институцията следва да покрива.

Компетентните органи могат да използват и да вземат под внимание работата, която вече е извършена от институцията или от компетентния орган в контекста на оценката на други рискове или елементи на ПНПО за извършване на актуализация на оценката. По - конкретно, при извършването на оценките, посочени в настоящите насоки, компетентните органи следва да изберат най - подходящия подход за надзорна оценка и методологията, която е най - подходяща и пропорционална за институцията, като компетентните органи следва да използват съществуващата и налична документация (напр. относимите доклади и други документи, срещи със съответните лица, ангажирани с функцията управление на риска, резултати от инспекции на място), за да предоставят информация за оценката на компетентните органи.

Компетентните органи следва да обобщят констатациите от своите оценки на критериите, посочени в настоящите насоки, и да ги използват, за да направят заключения относно оценката на елементите на ПНПО, както е посочено в Насоките на ЕБО относно ПНПО.

По - конкретно, оценката на управлението и стратегията за ИКТ, извършена в съответствие с дял 2 от настоящите насоки, следва да доведе до констатации, които се вземат предвид при обобщаването на констатациите от оценката на вътрешното управление и елементи на механизмите за контрол на ПНПО в рамките на институцията, както е посочено в дял 5 от насоките на ЕБО относно ПНПО, както и да бъдат отразени в съответната оценка на този елемент на ПНПО. Освен това компетентните органи следва да имат предвид, че всяко значително неблагоприятно въздействие на оценката на стратегията за ИКТ върху бизнес стратегията на институцията или всякакви опасения, че институцията може да не разполага с достатъчно ИКТ ресурси и ИКТ възможности за изпълнение и подкрепа на важни планирани стратегически промени, трябва се отрази при анализа на бизнес модела, извършен в съответствие с дял 4 от Насоките на ЕБО относно ПНПО.

Резултатът от оценката на риска за ИКТ, посочен в дял 3 от настоящите насоки, следва да се отрази при заключенията от оценката на операционния риск и следва да се разглежда като фактор за съответния резултат, както е посочено в дял 6.4 от Насоките на ЕБО относно ПНПО.

Трябва да се има предвид, че въпреки че компетентните органи като цяло оценяват подкатегориите рискове като част от основните категории (т.е. рискът за ИКТ ще бъде оценен като част от операционния риск), когато компетентните органи разглеждат някои подкатегории като съществени, те могат да ги оценяват на индивидуална основа. За тази цел, ако рискът за ИКТ е идентифициран като съществен риск от компетентния орган, настоящите насоки съдържат таблица за оценка (Таблица 1), която следва да се използва за определяне на самостоятелна оценка за подкатегория риск за ИКТ вследствие на цялостния подход за оценяване на рисковете за капитала в Насоките на ЕБО относно ПНПО.

За да се прецени дали рискът за ИКТ трябва да се счита за съществен и поради това има вероятност да бъде оценен и определен като отделна подкатегория на операционния риск, компетентните органи могат да използват критериите, посочени в раздел 6.1 от Насоките на ЕБО относно ПНПО.

При прилагането на настоящите насоки компетентните органи следва, когато е уместно, да вземат предвид неизчерпателния списък подкатегориите и рисковите сценарии, свързани с ИКТ риска, посочени в приложението, като вземат под внимание факта, че приложението акцентира върху рисковете за ИКТ, които могат да доведат до загуби с голяма тежест. Компетентните органи могат да изключат някои от рисковете за ИКТ, включени в таксономията, ако не съответстват на тяхната оценка. От институциите се очаква да поддържат собствени таксономии за риска, вместо да използват таксономията за риска за ИКТ, посочена в приложението .

В случай че настоящите насоки се прилагат по отношение на трансгранични банкови групи и техните дружества и е създадена надзорна колегия, ангажираните компетентни органи следва, в контекста на сътрудничеството си за оценка на ПНПО в съответствие с раздел 11.1 от Насоките на ЕБО относно ПНПО, да координират в максимална възможна степен точния и подробен обхват на всеки информационен елемент по последователен начин за всички дружества от групата.