2.4 Риск за ИКТ в рамката за управление на риска на институцията

При оценката на управлението на риска и вътрешните механизми за контрол на институцията, прилагани в рамките на институцията, както е предвидено в дял 5 от Насоките на ЕБО относно ПНПО, компетентните органи следва да преценят дали рамката за управление на риска на институцията и вътрешния контрол защитава ИКТ системите на институцията по подходящ начин, който съответства на размера и дейностите на институцията и на нейния рисков профил по отношение на ИКТ, както е определено в дял 3. По - конкретно, компетентните органи следва да определят дали:

• а) склонността към поемане на риск и процесът за вътрешна оценка на адекватността на капитала (ВААК) обхващат рисковете за ИКТ като част от по - широката категория на операционния риск за дефиниране на цялостната стратегия за риска и определяне на вътрешния капитал; и
• б) рисковете за ИКТ са в обхвата на рамките за управление на риска и вътрешния контрол на цялата институция.

Компетентните органи следва да извършат оценката съгласно буква а) по - горе, като вземат предвид както очакваните, така и неблагоприятните сценарии, например сценариите, включени в специфичния за институцията или надзорния стрес тест.

По отношение на буква б), компетентните органи следва да оценят дали функциите на независимия контрол и вътрешен одит, посочени в параграф 104, буква а), параграф 104, буква г), параграф 105, буква а) и параграф 105, буква в) от Насоките на ЕБО относно ПНПО, са подходящи за гарантиране на достатъчно ниво на независимост между ИКТ и функциите за контрол и одит, като се има предвид големината и рисковият профил по отношение на ИКТ на институцията.