50. Příslušné orgány by měly posoudit, nakolik jsou příslušné role a odpovědnosti v oblasti řízení …

Příslušné orgány by měly posoudit, nakolik jsou příslušné role a odpovědnosti v oblasti řízení rizik zasazeny a začleněny do vnitřní organizace pro účely řízení identifikovaných podstatných rizik IKT a dohled nad nimi. Příslušné orgány by v tomto ohledu měly posoudit, zda instituce prokazuje:

• a. jasně vymezené role a od povědnosti k identifikaci, hodnocení, monitorování, snižování a vykazování dotčeného podstatného rizika IKT a k dohledu nad ním;
• b. zda odpovědnosti a role spojené s riziky jsou jasně oznamovány, přidělovány a zakotveny ve všech příslušných součástech (např. linií podnikání, IT) a procesech organizace, včetně rolí a odpovědností k získávání a shromažďování informací o rizicích a jejich předávání vrcholnému vedení a/nebo vedoucímu orgánu;
• c. zda činnosti v oblasti řízení rizik IKT provádí dostatečný počet patřičně kvalifikovaných pracovníků s dostatečnými a přiměřeně kvalitními technickými prostředky; aby mohly příslušné orgány vyhodnotit věrohodnost příslušných plánů na snižování rizik, měly by rovněž posoudit, zda instituce vyhradila na jejich provádění dostatečné finanční rozpočty a/nebo další potřebné prostředky;
• d. odpovídající následnou kontrolu a reakci ze strany vedoucího orgánu, pokud jde o důležitá zjištění nezávislých kontrolních funkcí týkající se rizik(a) IKT, s přihlédnutím k možnému postoupení některých aspektů výboru, pokud je zřízen; a
• e. zda se výjimky z nařízení a zásad platných pro IKT evidují a zda jsou předmětem zdokumentovaného přezkoumání a oznamování ze strany nezávislé kontrolní funkce s důrazem na související rizika.

3.3.3 Rozsah a nálezy interních auditů

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/