3.1 Obecné úvahy

Příslušné orgány by měly posoudit, zda instituce řádně identifikuje, hodnotí a snižuje rizika IKT, která jí hrozí. Tento proces by měl být začleněn do rámce řízení operačního r izika a měl by se shodovat s přístupem uplatňovaným v případě operačního rizika.

Příslušné orgány by měly nejprve určit podstatná rizika spjatá s IKT, jimž instituce čelí nebo může čelit, a následně posoudit účinnost rámce, postupů a kontrolních mechanism ů instituce pro řízení rizik v oblasti IKT, které mají tato rizika snížit. Výsledek hodnocení by se měl promítnout do souhrnu zjištění, z něhož vychází skóre operačního rizika podle Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení. Je -li rizi ko IKT považováno za podstatné a příslušné orgány mu chtějí udělit samostatné skóre, měly by jej bodově ohodnotit podle tabulky č. 1 jako dílčí kategorii operačního rizika.

Při posuzování podle této hlavy by příslušné orgány měly využít veškeré dostupné zdroje informací uvedené v odstavci 127 hlavy 6 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení, například činnosti, zprávy a výsledky z oblasti řízení rizik a vytvořit tak základ pro identifikaci svých priorit při hodnocení v rámci dohledu. P říslušné orgány by měly k posouzení využít i další zdroje informací, jsou - li relevantní, také následující:

• a. vlastní hodnocení rizik a kontrolních mechanismů v oblasti IKT (je- li součástí interních postupů pro hodnocení kapitálové přiměřenosti);
• b. informace ve dení o rizicích IKT předkládané vedoucímu orgánu instituce, například hlášení
• o rizicích IKT poskytovaná pravidelně i při konkrétní události (včetně databáze provozních ztrát), údaje o expozici rizikům IKT od člena vedení pro řízení rizik instituce;
• c. nálezy interních i externích auditů oznámené výboru pro audit dané instituce v souvislosti s IKT.