Hlava 1 – Obecná ustanovení

Příslušné orgány by měly rizika IKT i řídicí a kontrolní mechanismy a strategii v oblasti IKT posuzovat v rámci procesu přezkoumání a vyhodnocení za použití modelu minimálního zapojení a zásady proporcionality, které popisuje hlava 2 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení. To zejména znamená, že:

• a. četnost posuzování rizik IKT by se měla odvíjet od modelu minimálního zapojení podle kategorie, do níž instituce v rámci procesu dohledu a hodnocení spadá, a také s ohledem na kon krétní program dohledových šetření; a
• b. hloubka, podrobnost a náročnost posuzování IKT by měly být úměrné velikosti, struktuře a provoznímu prostředí instituce a rovněž povaze, měřítku a složitosti jejích činností.

Princip proporcionality se v rámci těchto obecných pokynů uplatňuje na rozsah, četnost a náročnost zapojení orgánu dohledu, dialog s institucí a také na standardy, která by instituce měla podle očekávání orgánu dohledu splnit.

Příslušné orgány se mohou spoléhat na práci, kterou již instituce nebo příslušný orgán odvedly v souvislosti s ostatními riziky nebo prvky procesu přezkoumání a vyhodnocení s cílem získat aktualizované hodnocení, a měly by k ní přihlížet. Jestliže příslušné orgány provádí posuzování vymezené těmito obecnými pokyny, měly by jmenovitě zvolit pro posouzení orgánem dohledu takovou koncepci a metodiku, která je z hlediska instituce nejvhodnější a nejpřiměřenější, a zdrojem informací by jim pro tento účel měla být dostupná stávající dokumentace (např. relevantní zprávy a jiné dokum enty, porady s vedením (pro řízení rizik), zjištění inspekcí na místě).

Příslušné orgány by měly zjištění ze svých posudků podle kritérií stanovených těmito obecnými pokyny shrnout a použít je jako podklad pro závěry týkající se posuzování prvků procesu př ezkoumání a vyhodnocení dle Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení.

Posouzení řízení, kontroly a strategie v oblasti IKT podle hlavy 2 těchto obecných pokynů by mělo zejména přinést zjištění, která budou zahrnuta do souhrnu zjištění hodnocení vnitřního řídicího a kontrolního systému a kontrolních mechanismů v celé instituci, jež je prvkem procesu přezkoumání a vyhodnocení popsaného v hlavě 5 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení, a mělo by se odrazit i ve sk óre daného prvku. Příslušné orgány by dále měly zvážit, zda do analýzy obchodního modelu podle hlavy 4 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení nezahrnou také případný nežádoucí vliv hodnocení strategie v oblasti IKT na obchodní strat egii instituce nebo obavy, zda instituce disponuje v oblasti IKT dostatečnými prostředky a kapacitami, aby mohla provádět důležité plánované strategické změny.

Výsledek posouzení rizik IKT dle hlavy 3 těchto obecných pokynů by se měl promítnout do zjištění z posouzení operačního rizika a měl by být považován za dílčí složku příslušného skóre, jak je uvedeno v oddílu 6.4 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení.

Je známo, že příslušné orgány by obecně měly posuzovat dílčí kategorie rizika jako součásti hlavních kategorií (tzn. riziko IKT bude posuzováno jako součást operačního rizika), považují - li však některé dílčí kategorie za podstatné, mohou je posuzovat individuálně. Pro případ, že by příslušný orgán považoval riziko IKT za podstat né, obsahují tyto obecné pokyny také tabulku s bodovým hodnocením (tabulka č. 1), která by měla sloužit k samostatnému bodování dílčí kategorie rizika IKT podle celkové koncepce bodového hodnocení rizik pro kapitál obsažené v Obecných pokynech orgánu EBA k procesu přezkoumání a vyhodnocení.

Při rozhodování, zda riziko IKT považovat za podstatné a jako takové ho posuzovat a hodnotit jako samostatnou dílčí kategorii operačního rizika, mohou příslušné orgány použít kritéria uvedená v oddílu 6.1 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení.

V rámci uplatňování těchto obecných pokynů by měly příslušné orgány v relevantních případech zohlednit demonstrativní výčet dílčích kategorií rizika IKT a rizikových scénářů, jenž je uveden v příloze. Je však třeba mít na paměti, že příloha zmiňuje rizika IKT, která mohou vést k vysoce závažným škodám. Pokud některá rizika IKT zahrnutá do této klasifikace s daným posudkem nesouvisí, mohou je příslušné orgány vynechat. Předpokládá se, že instituce nejspíše namísto klasifikace rizik IKT v příloze používají vlastní zatřídění.

Jsou - li tyto obecné pokyny uplatňovány ve vztahu k přeshraničním bankovním skupinám a jejich subjektům a bylo- li vytvořeno kolegium orgánů dohledu, měly by dotčené příslušné orgány v rámci s polupráce pro účely hodnocení přezkoumání a vyhodnocení podle oddílu 11.1 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení v maximálním možném rozsahu koordinovat zajištění jednotlivých informací ve stejném rozsahu a konzistentně u všech subjektů skupiny.