+Orientações (EBA/GL/2017/05)
---+1. Obrigações de cumprimento e de comunicação de informação
------+Natureza das presentes Orientações
---------+1. O presente documento contém orientações emitidas ao abrigo do artigo 16.o do Regulamento (UE) …
---------+2. As Orientações refletem a posição da EBA sobre práticas de supervisão adequadas no âmbito do …
------+Requisitos de notificação
---------+3. Nos termos do disposto no artigo 16.o, n.o 3, do Regulamento (UE) n.o 1093/2010, as autoridades …
---------+4. As notificações serão publicadas no sítio Web da EBA, em conformidade com o disposto no artigo …
---+2. Objeto, âmbito de aplicação e definições
------+Objeto e âmbito de aplicação
---------+5. As presentes orientações, emitidas nos termos do n.º 3 do artigo 107.º da Diretiva 2013/36/UE …
---------+6. As autoridades competentes devem aplicar estas orientações em conformidade com o nível de …
------+Destinatários
---------+7. As presentes orientações destinam-se às autoridades competentes, na aceção do artigo 4.º, n.º 2 …
------+Definições
---------+8. Salvo disposição em contrário, os termos utilizados e definidos na Diretiva 2013/36/UE, no …
---+3. Aplicação
------+Data de aplicação
---------+9. As presentes orientações são aplicáveis a partir de 1 de janeiro de 2018.
---+4. Requisitos para a avaliação de risco das TIC
---+Título 1 - Disposições gerais
------+10. As autoridades competentes devem realizar a avaliação do risco das TIC, do mecanismo de governo …
------+11. O princípio de proporcionalidade aplica-se ao longo das presentes orientações ao âmbito, à …
------+12. As autoridades competentes podem basear-se no trabalho já levado a cabo pela instituição ou …
------+13. As autoridades competentes devem sintetizar as conclusões das suas avaliações dos critérios …
------+14. Em particular, a avaliação do governo e da estratégia de TIC efetuada nos termos do Título 2 …
------+15. O resultado da avaliação do risco de TIC, tal como especificado no Título 3 das presentes …
------+16. Cabe notar que as autoridades competentes, ainda que devam, regra geral, avaliar as …
------+17. Para chegar a uma conclusão sobre se o risco de TIC deve ser considerado significativo e …
------+18. Ao aplicarem as presentes orientações, as autoridades competentes devem, quando relevante, ter …
------+19. Sempre que as presentes orientações sejam aplicadas em relação a grupos bancários …
---+Título 2 - Avaliação do governo e da estratégia das instituições para as TIC
------+2.1 Princípios gerais
---------+20. As autoridades competentes devem avaliar se a estrutura global de governo e controlo interno da …
---------+21. Ao efetuarem esta avaliação, as autoridades competentes devem ter como referência os requisitos …
---------+22. A avaliação no presente Título não abrange os elementos específicos do governo, da gestão de …
---------+23. A alínea a) do n.º 22, fornecendo simultaneamente informações sobre elementos do governo da …
---------+24. O resultado desta avaliação deve instruir, quando relevante, a avaliação da gestão de risco e …
------+2.2 Estratégia de TIC
---------+25. Nos termos da presente secção, as autoridades competentes devem avaliar se a instituição …
---------+26. As autoridades competentes devem avaliar se a instituição dispõe de uma estrutura, proporcional …
---------+27. Se a estratégia de TIC da instituição exigir a implementação de alterações importantes e …
------+2.3 Governo interno global
---------+28. Nos termos do Título 5 das Orientações da EBA relativas ao SREP, as autoridades competentes …
---------+29. Em conformidade com a secção 5.2 das Orientações da EBA relativas ao SREP, as autoridades …
------+2.4 Risco de TIC na estrutura de gestão de risco da instituição
---------+30. Na avaliação da gestão de risco e de controlos internos a nível da instituição, tal como …
---------+31. As autoridades competentes devem realizar a avaliação referida na alínea a) tendo em conta quer …
---------+32. No que se refere especificamente à alínea b), as autoridades competentes devem avaliar se as …
------+2.5 Síntese das conclusões
---------+33. Estes resultados devem ser refletidos na síntese das conclusões nos termos do Título 5 das …
---------+34. Para a avaliação da estratégia para as TIC, devem ser tidos em consideração os pontos abaixo na …
---+Título 3 - Avaliação das exposições e dos controlos dos riscos de TIC das instituições
------+3.1 Considerações gerais
---------+35. As autoridades competentes devem avaliar se a instituição identificou, avaliou e mitigou …
---------+36. As autoridades competentes devem, em primeiro lugar, identificar os riscos de TIC inerentes …
---------+37. Ao realizarem a avaliação em conformidade com o presente Título, as autoridades competentes …
------+3.2 Identificação de riscos de TIC significativos
---------+38. As autoridades competentes devem identificar os riscos de TIC significativos aos quais a …
---------+39. Ao reverem o perfil de risco de TIC da instituição, as autoridades competentes devem ter em …
---------+40. No quadro do processo para a identificação dos riscos de TIC com um potencial impacto …
---------+41. Para esse efeito, as autoridades competentes devem rever a metodologia e os processos aplicados …
---------+42. Tendo em conta as revisões realizadas do perfil de risco de TIC da instituição e dos sistemas e …
---------+43. Ao avaliarem o potencial impacto dos riscos de TIC nos sistemas e serviços de TIC críticos de …
---------+44. As autoridades competentes devem em seguida mapear os riscos de TIC identificados que sejam …
------+3.3 Avaliação dos controlos para reduzir os riscos de TIC significativos
---------+45. Para avaliaram a exposição a riscos de TIC residuais da instituição, as autoridades competentes …
---------+46. Para o efeito, para os riscos de TIC significativos identificados, as autoridades competentes …
---------+47. A avaliação deve ter em conta o resultado da análise da estrutura global de gestão de risco e …
---------+48. As autoridades competentes devem executar os seguintes procedimentos de avaliação de uma forma …
---------+49. As autoridades competentes devem rever se a instituição possui políticas de gestão de risco …
---------+50. As autoridades competentes devem avaliar a forma como os papéis e responsabilidades a nível da …
---------+51. As autoridades competentes devem ter em consideração se a função de auditoria interna é eficaz …
---------+52. Relativamente aos riscos de TIC significativos identificados, as autoridades competentes devem …
---------+53. Para além dos requisitos estabelecidos nas Orientações da EBA relativas ao SREP (números 279 - …
---------+54. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a …
---------+55. As autoridades competentes devem avaliar se a instituição implementou uma estrutura eficaz para …
---------+56. As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para …
---------+57. As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para …
---------+58. Para as instituições supervisionadas que estão abrangidas pelo âmbito dos princípios do …
---------+59. As autoridades competentes devem avaliar se a estratégia de contratação externa da instituição …
---------+60. As autoridades competentes devem avaliar, especificamente, se a instituição tem uma estrutura …
------+3.4 Síntese das conclusões e da notação
---------+61. Na sequência da avaliação supramencionada, as autoridades competentes devem formar uma opinião …
---------+62. Se as autoridades competentes considerarem que o risco de TIC é significativo e a autoridade …
---------+Anexo – Taxonomia de risco das TIC
 English - European Union - Financial Industry -

Orientações (EBA/GL/2017/05)

Orientações (EBA/GL/2017/05)

https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities/supervisory-review-and-evaluation-process-srep-and-pillar-2/guidelines-ict-risk-assessment-under-srep – PDF

1. Visão geral

,
1. Obrigações de cumprimento e de comunicação de informação

1. Obrigações de cumprimento e de comunicação de informação
2. Objeto, âmbito de aplicação e definições

2. Objeto, âmbito de aplicação e definições
3. Aplicação

3. Aplicação
4. Requisitos para a avaliação de risco das TIC

4. Requisitos para a avaliação de risco das TIC
Título 1 - Disposições gerais

Título 1 - Disposições gerais
Título 2 - Avaliação do governo e da estratégia das instituições para as TIC

Título 2 - Avaliação do governo e da estratégia das instituições para as TIC
Título 3 - Avaliação das exposições e dos controlos dos riscos de TIC das instituições

Título 3 - Avaliação das exposições e dos controlos dos riscos de TIC das instituições

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas
  • EBA - Published by the European Banking Authority at https://www.eba.europa.eu/