3.3 Posouzení kontrolních mechanismů ke snižování podstatných rizik IKT

Aby mohly příslušné orgány posoudit zbytkovou expozici instituce rizikům IKT, měly by přezkoumat, j ak instituce identifikuje, monitoruje, vyhodnocuje a snižuje podstatná rizika, která příslušné orgány určily při výše uvedeném hodnocení.

Příslušné orgány by proto měly s ohledem na identifikovaná podstatná rizika IKT přezkoumat relevantní:

• a. zásady a procesy řízení rizik IKT a prahové hodnoty tolerance rizik;
• b. rámec organizačního řízení a dohledu;
• c. rozsah a nálezy interních auditů; a
• d. mechanismy pro kontrolu rizik IKT, které se vztahují ke konkrétnímu identifikovanému podstatnému riziku IKT.

Hodnoc ení by mělo zohlednit výsledek analýzy celkového rámce řízení rizik a vnitřní kontroly, o němž hovoří hlava 5 Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení, jakož i řídicí a kontrolní systém a strategii instituce, o nichž pojednává hlava 2 těchto obecných pokynů, neboť významné nedostatky v těchto oblastech mohou ovlivnit schopnost instituce řídit a snižovat vlastní expozici rizikům IKT. Ve vhodných případech by příslušné orgány měly rovněž využít zdroje informací zmiňované v odstavci 37 těchto obecných pokynů.

Příslušné orgány by měly další etapy hodnocení provádět způsobem, který je úměrný povaze, rozsahu a složitosti činností instituce a měly by při nich uplatnit přezkoumání orgánem dohledu, který odpovídá rizikovému profilu IKT instituce .

3.3.1 Zásady a procesy řízení rizik IKT a prahové hodnoty tolerance

Příslušné orgány by měly přezkoumat, zda instituce u identifikovaných podstatných rizik IKT uplatňuje vhodné zásady a procesy řízení rizik IKT a prahové hodnoty tolerance. Ty mohou být součást í rámce řízení operačního rizika nebo mohou tvořit samostatný dokument. V tomto hodnocení by příslušné orgány měly zohlednit, zda:

• a. zásady řízení rizik formálně schválil vedoucí orgán, a zda obsahují dostačující vodítka, pokud jde o ochotu instituce podstu povat rizika IKT, hlavní sledované cíle v oblasti řízení rizik IKT a/nebo používané prahové hodnoty tolerance rizik IKT; s příslušnými zásadami řízení rizik IKT by měly být rovněž seznámeny všechny relevantní zúčastněné osoby;
• b. platné zásady zahrnují všechny prvky, které jsou pro řízení identifikovaných podstatných rizik IKT významné;
• c. instituce provádí proces a podpůrné postupy identifikace (např. vlastní hodnocení rizik a kontroly – RCSA, analýza rizikových scénářů) a monitorování dotčených podstatných rizi k IKT; a
• d. instituce vypracovává výkazy řízení rizik IKT, které poskytují vrcholnému vedení a vedoucímu orgánu včasné informace a umožňují vrcholnému vedení a/nebo vedoucímu orgánu vyhodnocovat a monitorovat soulad plánů a opatření instituce na snižování riz ik IKT se schválenou ochotou podstupovat riziko a/nebo prahovými hodnotami tolerance (v relevantních případech) a monitorovat změny podstatných rizik IKT.

3.3.2 Rámec organizačního řízení a dohledu

Příslušné orgány by měly posoudit, nakolik jsou příslušné role a odpovědnosti v oblasti řízení rizik zasazeny a začleněny do vnitřní organizace pro účely řízení identifikovaných podstatných rizik IKT a dohled nad nimi. Příslušné orgány by v tomto ohledu měly posoudit, zda instituce prokazuje:

• a. jasně vymezené role a od povědnosti k identifikaci, hodnocení, monitorování, snižování a vykazování dotčeného podstatného rizika IKT a k dohledu nad ním;
• b. zda odpovědnosti a role spojené s riziky jsou jasně oznamovány, přidělovány a zakotveny ve všech příslušných součástech (např. linií podnikání, IT) a procesech organizace, včetně rolí a odpovědností k získávání a shromažďování informací o rizicích a jejich předávání vrcholnému vedení a/nebo vedoucímu orgánu;
• c. zda činnosti v oblasti řízení rizik IKT provádí dostatečný počet patřičně kvalifikovaných pracovníků s dostatečnými a přiměřeně kvalitními technickými prostředky; aby mohly příslušné orgány vyhodnotit věrohodnost příslušných plánů na snižování rizik, měly by rovněž posoudit, zda instituce vyhradila na jejich provádění dostatečné finanční rozpočty a/nebo další potřebné prostředky;
• d. odpovídající následnou kontrolu a reakci ze strany vedoucího orgánu, pokud jde o důležitá zjištění nezávislých kontrolních funkcí týkající se rizik(a) IKT, s přihlédnutím k možnému postoupení některých aspektů výboru, pokud je zřízen; a
• e. zda se výjimky z nařízení a zásad platných pro IKT evidují a zda jsou předmětem zdokumentovaného přezkoumání a oznamování ze strany nezávislé kontrolní funkce s důrazem na související rizika.

3.3.3 Rozsah a nálezy interních auditů

Příslušné orgány by měly zvážit, zda je funkce interního auditu při provádění auditu platných rámců kontroly rizik IKT efektivní, a přezkoumat, zda:

• a. je rámec kontrol rizik IKT podrobován auditu požadované kvality, hloubky a četnosti a zda odpovídá ve likostí činnostem a rizikovému profilu IKT instituce;
• b. plán auditu zahrnuje audity kritických rizik IKT identifikovaných institucí;
• c. jsou důležité nálezy auditu IKT, včetně odsouhlasených opatření, předkládány vedoucímu orgánu; a
• d. zda se vrcholné vedení a/neb o výbor pro audit nálezy auditu IKT, včetně odsouhlasených opatření, následně zabývá a zda pravidelně přezkoumává zprávy o pokroku.

3.3.4 Mechanismy pro kontrolu rizik IKT, které se vztahují ke konkrétním identifikovaným podstatným rizikům IKT

V případě identifikovaných podstatných rizik IKT by příslušné orgány měly posoudit, zda instituce využívá k řešení těchto rizik konkrétní kontrolní mechanismy. Oddíly níže uvádí demonstrativní výčet konkrétních kontrolních mechanismů, které je třeba brát v úvahu při hodnocení rizik, která byla podle oddílu 3.2.3 identifikována jako podstatná a přiřazená do následujících kategorií rizik IKT:

• a. rizika spojená s dostupností a zachováním kontinuity IKT;
• b. rizika spojená se zabezpečením IKT;
• c. rizika spojené se změnou IKT;
• d. rizika ohrožení integrity dat IKT;
• e. rizika spojené s externím zajištěním IKT.
• (a) Kontrolní mechanismy pro řízení podstatných rizik spojených s dostupností a zachováním kontinuity IKT

Kromě požadavků uvedených v Obecných pokynech orgánu EBA k procesu pře zkoumání a vyhodnocení (odstavce 279– 281) by příslušné orgány měly posoudit, zda instituce uplatňuje vhodný rámec pro identifikaci, pochopení, měření a snižování rizika spojená s dostupností a zachováním kontinuity IKT.

V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda tento rámec:

• a. označuje kritické procesy IKT a příslušné podpůrné systémy IKT, které by měly být součástí plánů zajištění odolnosti a zachování provozu instituce společně:
• i. s komplexní analýzou závislostí mezi kritickými podnikovými procesy a podpůrnými systémy;
• ii. s určením cílů obnovy podpůrných systémů IKT (např. instituce a/nebo předpisy obvykle stanoví RTO a RPO);
• iii. s vhodnými pohotovostními plány, které zajistí dostupnost, kontinuitu a obnovu kritických systémů a služeb IKT s cílem omezit přerušení operací instituce na přijatelnou mez;
• b. obsahuje zásady a standardy pro zajištění odolnosti a kontrolu kontinuity a provozní kontrolní mechanismy, které zahrnují:
• i. opatření, která brání tomu, aby jednotlivé scénáře, mimořádné události nebo katastrofy zasáhly jak produkční tak záložní systémy IKT;
• ii. postupy pro zálohu a obnovu kritického softwaru a dat systémů IKT, které zajišťují, aby se tyto zálohy ukládaly na zabezpečené a dos tatečně vzdálené místo a aby mimořádnou událostí ani katastrofou nemohla být tato kritická data zničena či poškozena;
• iii. monitorovací procesy pro včasné zjištění mimořádných událostí týkajících se dostupnosti a zachování kontinuity IKT;
• iv. zdokumentovaný proces řízení a eskalace mimořádných událostí, který rovněž obsahuje pokyny pro různé úlohy a odpovědnosti v rámci řízení a eskalace mimořádných událostí, členy krizových výborů a hierarchii řízení v případě krizové situace;
• v. fyzická opatření na ochranu kritické infrastruktury IKT instituce (např. datových center) před environmentálními riziky (např. záplavami a jinými přírodními katastrofami) a k zajištění vhodného provozního prostředí pro systémy IKT (např. klimatizace);
• vi. procesy, úlohy a odpovědnosti, které zajistí, aby byly do příslušných řešení a plánů zajištění odolnosti a zachování provozu instituce zahrnuty i externě zajišťované systémy a služby IKT;
• vii. řešení pro plánování a monitorování výkonnosti a kapacity kritických systémů a služeb IKT s vymezenými požad avky na dostupnost, aby bylo možné včas odhalit významná omezení výkonnosti a kapacity;
• viii. řešení na ochranu kritických internetových činností nebo služeb (např. služby elektronického bankovnictví), v nezbytných a vhodných případech, proti útokům typu DoS (odepření služeb) nebo jiným kybernetickým útokům z internetu zaměřeným na odepření nebo narušení přístupu k těmto činnostem nebo službám;
• c. testuje řešení pro zajištění dostupnosti a kontinuity IKT podle řady realistických scénářů včetně kybernetických útoků, testuje převzetí služeb při selhání a zálohy kritického softwaru a dat, přičemž tyto testy:
• i. jsou plánovány, formálně schvalovány a dokumentovány a výsledky testů slouží k posílení účinnosti řešení pro zajištění dostupnosti a kontinuity IKT;
• ii. zahrnují zúčastněné osoby a funkce v organizaci, jako je vedení jednotlivých linií podnikání včetně týmů zodpovědných za zachování provozu instituce a reakci na mimořádné a krizové události, jakož i příslušné zainteresované subjekty z vnějšího prostředí;
• iii. vedoucí orgán a vrcholné vedení jsou patřičným způsobem zapojeny (např. jako součást týmů krizového řízení) a seznámeny s výsledky testů.
• (b) Kontrolní mechanismy pro řízení podstatných rizik spojených se zabezpečením IKT

Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání, měření a snižování rizik spojených se zabezpečením IKT. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda daný rámec bere v potaz:

• a. jasně vymezené role a odpovědnosti, pokud jde o:
• i. osoby a/nebo výbory, které odpovídají za každodenní správu zabezpečení IKT a přípravu zastřešujících zásad zabezpečení IKT, s důrazem na jejich potřebnou nezávislost;
• ii. koncepci, provádění, řízení a monitorování kontrolních mechanismů pro zabezpečení IKT;
• iii. o chranu kritických systémů a služeb IKT například přijetím procesu hodnocení zranitelnosti, správy softwarových aktualizací, ochrany koncových bodů (např. proti škodlivému softwaru), nástrojů na detekci a prevenci neoprávněného průniku;
• iv. monitorování, klasifikaci a zpracování externích nebo interních mimořádných událostí v rámci zabezpečení IKT; včetně reakce na mimořádné události a opětovného zprovoznění a obnovy systémů a služeb IKT;
• v. pravidelné a proaktivní hodnocení hrozeb s cílem udržet kontrolní mechanismy zabezpečení v řádném stavu;
• b. zásady zabezpečení IKT, které zohledňují a ve vhodných případech také dodržují mezinárodně uznávané standardy a principy zabezpečení IKT (např. princip nejnižších možných oprávnění, to znamená omezení přístupu na minimální úroveň, která umožní běžné fungování správy přístupových práv, a princip „hloubkové ochrany“, tzn. že vrstvené bezpečnostní mechanismy posilují zabezpečení systému jako celku při navrhování architektury zabezpečení);
• c. proces identifikace systémů a služeb IK T a úměrné bezpečnostní požadavky odrážející potenciální riziko podvodů a/nebo možného nesprávného užití a/nebo zneužití důvěrných údajů spolu se zdokumentovanými bezpečnostními předpoklady, které tyto identifikované systémy, služby a data IKT musí splňovat, v souladu s rizikovou tolerancí instituce, a které musí být monitorovány z hlediska jejich správného provádění;
• d. zdokumentovaný proces řízení a eskalace mimořádných událostí v oblasti zabezpečení, který obsahuje pokyny pro různé úlohy a odpovědnosti v rá mci řízení a eskalace mimořádných událostí, členy krizových výborů a hierarchií řízení v případě krizových situací;
• e. protokolování činnosti uživatelů a administrátorů, které umožní efektivněji monitorovat a včas detekovat neoprávněnou aktivitu a reagovat na ni; pro účely asistence při forenzním šetření mimořádných událostí v oblasti bezpečnosti nebo pro účely provádění tohoto šetření. Instituce by měla mít zavedeny zásady protokolování, které vymezí patřičné druhy záznamů, jež mají být uchovávány, a také dob u, po kterou mají být uchovávány;
• f. povědomí a informační kampaně nebo iniciativy, které všechny úrovně instituce seznámí s bezpečným používáním a ochranou systémů IKT instituce a s hlavními bezpečnostními (i jinými) riziky IKT, o nichž by tito pracovníci měli vědět, zejména v souvislosti se stávajícími i rozvíjejícími se kybernetickými hrozbami (např. počítačové viry, možné interní nebo externí zneužití či útoky, kybernetické útoky) a jejich vlastní úlohou při omezování porušení zabezpečení;
• g. odpovídající fyzická bezpečnostní opatření (např. průmyslové kamery, poplašné zařízení, bezpečnostní dveře), která zabrání neoprávněnému fyzickému přístupu ke kritickým a citlivým systémům IKT (např. datovým centrům);
• h. opatření chránící systémy IKT před útoky z internetu (tzn. kybernetickými útoky) nebo jiných externích sítí (např. tradiční telekomunikační připojení nebo propojení s důvěryhodnými partnery); příslušné orgány by měly přezkoumat, zda rámec instituce zohledňuje:
• i. proces a řešení k udržování kompletního aktualizovaného inventáře a přehledu všech vnějších hraničních bodů síťového připojení (např. internetových stránek, internetových aplikací, Wi - Fi, vzdáleného přístupu), přes něž by mohly třetí strany prolomit interní systémy IKT;
• ii. přísně řízená a monitorovaná bezp ečnostní opatření (např. firewally, proxy servery, přenos pošty, antiviry a skenery obsahu) pro zabezpečení příchozího i odchozího síťového provozu (např. elektronické pošty) a vnějších hraničních síťových připojení, přes něž by mohly třetí strany prolomit interní systémy IKT;
• iii. procesy a řešení pro zabezpečení internetových stránek a aplikací, které mohou být přímo napadeny z internetu a/nebo zvenčí a které by mohly sloužit jako vstupní bod do interních systémů IKT; obecně sem patří kombinace uznávaných postupů pro vývoj zabezpečení, postupů pro posílení systémů IKT a skenování slabin a realizace doplňkových bezpečnostních řešení, například používání firewallů a/nebo systémů pro odhalování neoprávněného průniku (IDS) a/nebo prevenci neoprávněného průniku (IPS);
• iv. pravidelné bezpečnostní penetrační testy, které slouží k posouzení účinnosti prováděných opatření a procesů v rámci kybernetického a interního zabezpečení IKT; tyto testy by měli provádět pracovníci a/nebo externí specialisté, kteří mají potřebné odborné znalosti, přičemž by se výsledky a závěry testů měly dokumentovat a vykazovat vrcholnému vedení a/nebo vedoucímu orgánu; v případě potřeby a použitelnosti by instituce při těchto testech měla zjistit, zda je třeba dále zdokonalovat bezpečnostní kontrol y a procesy a/nebo získat lepší ujištění o jejich efektivitě.
• (c) Kontrolní mechanismy pro řízení podstatných rizik změn IKT

Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání, měření a snižování rizika spojená se změnou IKT, který je úměrný povaze, rozsahu a složitosti činností instituce a jejímu rizikovému profilu IKT. Rámec instituce by měl zahrnovat rizika spojená s vývojem, testováním a schvalováním změn systémů IKT, včetně vývoje nebo změny softwaru, a to před jejich přenesením do produkčního prostředí, s cílem zajistit řádné řízení životního cyklu IKT. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda daný rámec bere v potaz:

• a. zdokumentované procesy řízení a kontroly změn systémů IKT (např. správa konfigurace a aktualizací) a dat (např. opravy chyb nebo dat), které zajišťují odpovídající zahrnutí řízení rizik IKT do důležitých změn IKT, které by mohly mít významný dopad na rizikový profil nebo expozici instituce;
• b. specifikace týkající se nezbytného oddělení povinností v různých etapách prováděných procesů změn IKT (např. koncepce a vývoj řešení, testování a schvalování nového softwaru a/nebo změn, přenos a realizace v produkčním prostředí a opravy chyb) s důrazem na prováděná řešení a oddělení povinností při řízení a kontrole změn produkčních systémů a dat IKT pracovníky IKT (např. vývojáři, administrátory systémů IKT, administrátory databází) nebo jinou stranou (např. podnikovými uživateli, poskytovateli služeb);
• c. zkušební prostředí, které patřičně odráží prostředí produkční;
• d. inventář aktiv stávajících aplikací a systémů IKT v produkčním a také ve zkušebním a vývojovém prostředí, aby bylo možné potřebné změny (např. aktualizace nebo povýšení na nové verze, systémové aktualizace, změny konfigurace) dotčených systémů IKT řádně řídit, provádět a monitorovat;
• e. proces monitorování a řízení životního cyklu používaných systémů IKT, který zajistí, aby tyto systémy nadále splňovaly a podporovaly současné požadavky v oblasti řízení podnikání a rizik a prověří, zda prodejci používaných řešení a systémů IKT k nim stále ještě poskytují podporu; a zda tento proces doplňují odpovídajícími postupy životního cyklu vývoje softwaru (SDLC);
• f. systém a vhodné postupy na kontrolu zdrojového kódu, jež brání neoprávněným změnám v e zdrojovém kódu interně vyvíjeného softwaru;
• g. proces provádění detekce a kontroly zabezpečení a slabin nových nebo podstatně změněných systémů a softwaru, než jsou uvolněny do produkce a vystaveny možným kybernetickým útokům;
• h. proces a řešení bránící neoprávněnému nebo neúmyslnému zveřejnění důvěrných dat během výměny, archivace, mazání nebo likvidace systémů IKT;
• i. proces nezávislého přezkoumání a validace, který snižuje riziko lidského pochybení při provádění změn systémů IKT, jež by mohlo mít značný nepříznivý dopad na dostupnost, kontinuitu nebo zabezpečení instituce (např. důležité změny konfigurace firewallu) nebo na zabezpečení instituce (např. změny firewallů).
• (d) Kontrolní mechanismy pro řízení podstatných rizik ohrožení integrity dat IKT

Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání, měření a snižování rizika ohrožení integrity dat IKT, který je úměrný povaze, rozsahu a složitosti činností instituce a jejímu rizikovému profilu IKT. Rámec instituce by měl zohledňovat rizika spojená s ochranou integrity dat uložených a zpracovávaných v systémech IKT. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda daný rámec bere v potaz:

• a. zásady, které vymezují role a odpovědnosti při řízení integrity dat v s ystémech IKT (např. architekti dat, uživatelé dat⁶ , správci dat⁷ , vlastníci dat⁸ ) a poskytují pokyny pro identifikaci dat kritických z hlediska integrity, na která by se měly uplatňovat speciální kontrolní mechanismy IKT (např. automatizované kontroly ověřování vstupů, kontroly datového přenosu, kontrolní srovnání atd.) nebo přezkoumání (např. kontrola kompatibility s datovou architekturou) ve třech různých etapách životního cyklu dat IKT;
• b. zdokumentovanou datovou a rchitekturu, datový model a/nebo slovník ověřený příslušnými podnikovými nebo IT účastníky za účelem podpory potřebné integrity dat ve všech systémech IKT a zajištění trvalého souladu datové architektury, datového modelu a/nebo slovníku s potřebami řízení obchodní činnosti a rizik;
• c. zásady pro přípustné používání a závislost na informační technice koncových uživatelů, zejména pokud jde o identifikaci, registraci a dokumentaci důležitých koncových řešení (např. při zpracování důležitých dat) a předpokládané úrovně zabezpečení na ochranu proti neoprávněným úpravám, jak nástroje samotného, tak i dat v něm uložených;

6 Uživatel dat zpracovává a využívá data. 7 Správce dat odpovídá za bezpečnou úschovu, přenos a ukládání dat. 8 Vlastník dat odpovídá za řízení a vhodnost datových prvků – obsahu i metadat.

• d. zdokumentované procesy nakládání s výjimkami pro řešení zjištěných problémů s integritou dat IKT v souladu s jejich kritickou a citlivou povahou.

U institucí, které podléhají dohledu a které spadají do působnosti principů BCBS 239 pro účinné shromažďování údajů v oblasti rizik a podávání zpráv o rizicích⁹ , by příslušné orgány měly přezkoumat analýzu rizik souvisejících s kapacitami instituce pro podá vání hlášení o rizicích a shromažďování údajů na pozadí uvedených principů a vypracované související dokumentace a rovněž přihlédnout k prováděcímu harmonogramu a přechodným ustanovením daných principů.

• (e) Kontrolní mechanismy pro řízení podstatných rizik spojených s externím zajištěním IKT

Příslušné orgány by měly posoudit, zda strategie externího zajištění instituce odpovídá požadavkům Obecných pokynů výboru CEBS k externímu zajištění činností nebo služeb (2006) a dále požadavku odst. 85 písm. d) Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení, v rozsahu týkajícím se externího zajištění IKT, včetně externího zajištění služeb IKT v rámci skupiny. Při posuzování rizik spojených s externím zajištěním IKT by příslušné orgány měly mít na paměti, že rizika spojená s externím zajištěním IKT již mohou být zahrnuta do hodnocení inherentních operačních rizik podle odst. 240 písm. j) Obecných pokynů orgánu EBA k procesu přezkoumání a vyhodnocení, a je- li tomu tak, měly by se vyhnout duplicitní práci i hodnocení.

Příslušné orgány by zejména měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání a měření rizika spojeného s externím zajištěním IKT, a především kontrolní mechanismy a prostředí, jež snižují rizika spojená s podstatnými, externě zajišťovanými službami IKT a jež jsou úměrné velikosti, činnostem i rizikovému profilu IKT instituce. Jejich součástí by mělo být:

• a. posouzení dopadu externího zajištění IKT na řízení rizik instituce v souvislosti s využíváním poskytovatelů služeb (např. poskytovatelů cloudových služeb) a jejich služeb v průběhu zadávacího řízení, jež je zdokumentováno a k němuž vrcholné vedení nebo vedoucí orgán při rozhodování
• o externím zajištění služeb přihlíží; instituce by měla přezkoumat zásady řízení rizik IKT i mechanismy a prostředí pro kontrolu IKT využívané poskytovatelem služeb, aby se ujistila, zda odpovídají cílům v oblasti řízení interních rizik instituce i její ochotě podstupovat riziko; toto přezkoumání by se mělo po dobu smluvního externího zajišťování služeb pravidelně aktualizovat s přihlédnutím k povaze externě zajišťovaných služeb;
• b. po dobu smluvního externího zajišťování služeb monitorování souvisejících rizik IKT v rámci řízení rizik instituce, které slouží instituci jako zdroj informací pro účely podávání hlášení o řízení rizik IKT (např. podávání hlášení o kontinuitě podnikání, hlášení o zabezpečení);
• c. monitorování a porovnávání dodaných úrovní služeb se sjednanými úrovněmi služeb, které by měly být součástí smlouvy o externím zajištění služeb nebo smlouvy o úrovni poskytovaných služeb; a
• d. odpovídající personální obsazení, prostředky a kompetence pro účely monitorování a řízení rizik IKT spojených s externě zajišťovanými službami.

9 Basilejský výbor pro bankovní dohled, Principy účinného shromažďování údajů v oblasti rizik a podávání hlášení

• o rizicích, leden 2013, k dispozici on-line na adrese: http://www.bis.org/publ/bcbs239.pdf.