60. De kompetente myndigheder bør navnlig vurdere, om instituttet har effektive rammer på plads til …

De kompetente myndigheder bør navnlig vurdere, om instituttet har effektive rammer på plads til at identificere, forstå og måle IKT-outsourcingrisici og navnlig kontroller og et kontrolmiljø til reduktion af risici i forbindelse med væsentlige outsourcede IKT-tjenester, som står i forhold til instituttets størrelse, aktiviteter og IKT-risikoprofil og omfatter:

• a. en vurdering af IKT-outsourcingens indvirkning på instituttets risikostyring i forbindelse med brug af leverandører (dvs. leverandører af cloudservices) og deres tjenester i indkøbsprocessen, som den daglige ledelse eller ledelsesorganet har dokumenteret og taget højde for i beslutningen om at outsource tjenester. Instituttet bør gennemgå leverandørens IKT-risikostyringspolitikker og IKT-kontroller og -kontrolmiljø for at sikre, at de opfylder instituttets interne risikostyringsmål og risikovillighed. Denne gennemgang bør ajourføres løbende i outsourcingperioden under hensyntagen til kendetegnene ved de outsourcede tjenester
• b. overvågning af IKT-risiciene ved de outsourcede tjenester i outsourcingperioden som led i instituttets risikostyring, der indgår i instituttets IKT-risikostyringsrapportering (f.eks. rapportering om den forretningsmæssige kontinuitet, sikkerhedsrapportering)
• c. overvågning og sammenligning af de modtagne serviceniveauer og de aftalte serviceniveauer, som bør indgå i outsourcingkontrakten eller serviceniveauaftalen (SLA) og
• d. tilstrækkelige medarbejdere, ressourcer og kompetencer til at overvåge og styre IKT-risici fra de outsourcede tjenester.

9 Basel Committee on Banking Supervision, Principles for effective risk data aggregation and risk reporting, januar 2013, findes online: http://www.bis.org/publ/bcbs239.pdf.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.