2.4 Riziko IKT v rámci řízení rizik instituce

Při hodnocení řízení rizik a mechanismů vnitřní kontroly v celé instituci dle hlavy 5 Obecných pokynů orgánu EBA k pr ocesu přezkoumání a vyhodnocení by příslušné orgány měly zvážit, zda rámec řízení rizik a vnitřních kontrolních mechanismů instituce patřičně chrání její systémy IKT způsobem, který odpovídá rozsahu a činnostem instituce a rizikovému profilu jejích IKT, ja k popisuje hlava 3. Příslušné orgány by měly zejména určit, zda:

• a. ochota podstupovat rizika a interní postupy pro hodnocení kapitálové přiměřenosti (ICAAP) zahrnují pro účely vymezení celkové strategie v oblasti rizik a stanovení vnitřního kapitálu do širší kategorie operačních rizik také rizika spojená s IKT; a
• b. zda rizika IKT spadají do působnosti rámců řízení rizik a vnitřní kontroly v celé instituci.

Příslušné orgány by měly provést hodnocení podle písmene a) uvedeného výše s přihlédnutím k očekávanému vývoji i nepříznivým scénářům, například ke scénářům, které jsou součásti zátěžového testu p rováděného danou institucí nebo v rámci dohledu.

S přihlédnutím k písmenu b) by měly příslušné orgány posoudit, zda jsou útvary nezávislé kontroly a interního auditu, podrobně popsané v odst. 104 písm. a) a d) a odst. 105 písm. a) a c) Obecných pokynů org ánu EBA k procesu přezkoumání a vyhodnocení, natolik přiměřené, aby dokázali zajistit dostatečnou míru nezávislosti IKT a funkcí kontroly a auditu s ohledem na velikost a rizikový profil IKT instituce.