49. Компетентните органи следва да преценят дали институцията има подходящи политики за управление …

Компетентните органи следва да преценят дали институцията има подходящи политики за управление на риска, процеси и прагове за допустимост на риск за идентифицираните съществени рискове за ИКТ. Те могат да бъдат част от рамката за управление на операционния риск или отделен документ. За тази оценка компетентните органи следва да вземат предвид дали:

• а) политиката за управление на риска е формализирана и одобрена от ръководния орган и съдържа достатъчно насоки относно склонността на институцията за поемане на риск в областта на ИКТ и основните преследвани цели за управление на риска за ИКТ и/или прилаганите прагове за допустимост на риска за ИКТ; съответната политика за управление на риска за ИКТ следва също така да бъде сведена до знанието на всички заинтересовани страни;
• б) приложимата политика обхваща всички съществени елементи за управлението на риска на идентифицираните съществени рискове за ИКТ;
• в) институцията е въвела процеси и основни процедури за идентификация (напр. „Самооценки на механизмите за контрол на риска“ (RCSA), анализ на рисковите сценарии) и наблюдение на съответните съществени рискове за ИКТ; и
• г) институцията има отчетност за управление на риска за ИКТ, която осигурява навременна информация на висшето ръководство и на ръководния орган, и която дава възможност на висшето ръководство и/или на ръководния орган за оценка и наблюдение дали плановете и мерките за редуциране на риска за ИКТ на институцията са съвместими с одобрената склонност за поемане на риск и/или допустими прагове (когато е приложимо) и за наблюдение на промени в съществените рискове за ИКТ. 3.3.2 Рамка за организационно управление и контрол

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/