Afsnit 1 – Generelle bestemmelser

Kompetente myndigheder bør gennemføre vurderingen af IKT-risikoen, governance og IKT-strategien som led i SREP-processen efter minimumsengagementsmodellen og proportionalitetskriterierne i afsnit 2 i EBA's SREP-retningslinjer. Dette betyder navnlig, at:

• a. hyppigheden af IKT-risikovurderingen afhænger af den minimumsengagementsmodel, som anføres af den SREP-kategori, et institut tildeles, og dets specifikke tilsynsprogram og
• b. dybden, detaljerne og intensiteten i IKT-vurderingen bør stå i forhold til størrelsen, strukturen og driftsmiljøet i instituttet samt arten, omfanget og kompleksiteten af dets aktiviteter.

Proportionalitetsprincippet gælder i disse retningslinjer for omfanget, hyppigheden og intensiteten af tilsynet og dialogen med et institut og de tilsynsmæssige forventninger til de standarder, som instituttet bør opfylde.

De kompetente myndigheder kan anvende og tage højde for det arbejde, som instituttet eller den kompetente myndighed allerede har udført i forbindelse med vurderingen af andre risici eller SREP-elementer for at få en opdateret vurdering. I forbindelse med gennemførelse af vurderingerne i disse retningslinjer bør de kompetente myndigheder udvælge den mest hensigtsmæssige tilsynsstrategi og metode, der passer bedst til instituttet, og de kompetente myndigheder bør bruge eksisterende og tilgængelig dokumentation (f.eks. relevante rapporter og andre dokumenter, møder med (risiko)ledelsen, resultater af undersøgelser på stedet) som hjælp til de kompetente myndigheders vurdering.

De kompetente myndigheder bør sammenfatte resultaterne af deres vurderinger ud fra kriterierne specificeret i disse retningslinjer og anvende dem med henblik på at nå frem til en konklusion om vurderingen af SREP-elementerne som angivet i EBA's SREP-retningslinjer.

Især bør vurderingen af governance- og IKT-strategien i overensstemmelse med afsnit 2 i disse retningslinjer afstedkomme resultater, der hjælper med at sammenfatte observationerne af vurderingen af den interne governance og instituttets kontrolelementer i SREP som angivet i afsnit 5 i EBA's SREP-retningslinjer og afspejlet i SREP-scoren. Endvidere bør de kompetente myndigheder overveje, om enhver negativ påvirkning af vurderingen af IKT-strategien på instituttets forretningsstrategi eller bekymringer om, at instituttet ikke har tilstrækkelige IKT-ressourcer og IKT-muligheder til at gennemføre og støtte vigtige planlagte strategiske ændringer, bør indgå i analysen af forretningsmodellen i overensstemmelse med afsnit 4 i EBA's SREP-retningslinjer

Resultatet af IKT-risikovurderingen som er specificeret i afsnit 3 i disse retningslinjer bør indgå i resultaterne af vurderingen af driftsrisikoen og bør anses for at indgå i den relevante score i afsnit 6.4 i EBA's SREP-retningslinjer.

Det bemærkes, at selv om de kompetente myndigheder generelt bør vurdere underkategorier af risici som led i de vigtigste kategorier (dvs. IKT-risikoen vurderes som led i driftsrisikoen), hvor de kompetente myndigheder anser visse underkategorier for at være væsentlige, kan de vurdere sådanne underkategorier individuelt. IKT-risikoen bør derfor identificeres som en væsentlig risiko af den kompetente myndighed, og disse retningslinjer bør desuden indeholde en scoringstabel (tabel 1), som bør anvendes til at give en separat underkategoriscore for IKT-risiko efter den generelle tilgang til scorer for kapitalrisici i EBA's SREP-retningslinjer.

For at nå frem til, hvorvidt IKT-risikoen bør anses som væsentlig, og IKT-risiko derfor bør vurderes og tildeles en score som en individuel underkategori af den operationelle risiko, kan de kompetente myndigheder anvende kriterierne i afsnit 6.1 i EBA's SREP-retningslinjer.

Når de kompetente myndigheder anvender disse retningslinjer, bør de, hvor det er relevant, tage højde for den ikke-udtømmende liste over underkategorier af IKT-risici og risikoscenarier som anført i bilaget, idet det bemærkes, at bilaget fokuserer på IKT-risici, som kan medføre meget alvorlige tab. De kompetente myndigheder kan udelukke nogle af de IKT-risici, som indgår i klassificeringen, hvis de ikke er relevante for deres vurdering. Institutterne ventes at fastholde deres egne risikoklassificeringer i stedet for IKT-risikoklassificeringen i bilaget.

Når disse retningslinjer anvendes i forbindelse med internationale bankkoncerner og de enheder, som de består af, og tilsynskollegiet er oprettet, bør de kompetente myndigheder, inden for rammerne af deres samarbejde om SREP-vurderingen i henhold til punkt 11.1 i EBA's SREP-retningslinjer, i videst muligt omfang samordne det nøjagtige og detaljerede anvendelsesområde for hver oplysning på en konsekvent måde for alle koncernenheder.