2.1 Almindelige principper

De kompetente myndigheder bør vurdere, om instituttets generelle rammer for governance og intern kontrol dækker IKT-systemerne og de dermed forbundne risici, og om ledelsesorganisationen håndterer og forvalter disse aspekter i tilstrækkeligt omfang, eftersom IKT er en integreret del af et instituts funktioner.

I forbindelse med udførelsen af vurderingen bør de kompetente myndigheder henvise til krav og standarder for god intern governance og risikokontrol som anført i EBA's retningslinjer om intern governance⁴ og internationale retningslinjer på dette område, i det omfang disse kan anvendes i lyset af IKT-systemer og -risici.

⁴ EBA's retningslinjer om intern ledelse, GL 44, 27. september 2011.

Vurderingen i dette afsnit dækker ikke de specifikke elementer af forvaltningen af IKT-systemet, risikostyring og kontroller med fokus på at forvalte specifikke IKT-risici i afsnit 3 i disse retningslinjer, men fokuserer på følgende områder:

• a. IKT-strategi – om instituttet har en IKT-strategi, som er tilstrækkeligt forvaltet og i overensstemmelse med instituttets forretningsstrategi
• b. den overordnede interne governance – om instituttets overordnede interne governance er tilstrækkelig i forhold til instituttets IKT-systemer, og
• c. IKT-risikoen i instituttets risikostyringsrammer – om instituttets rammer for risikostyring og intern kontrol sikrer instituttets IKT-systemer på tilstrækkelig vis.

Pkt. 22, litra a), indeholder oplysninger om elementer af instituttets governance, men bør primært indgå i vurderingen af forretningsmodellen i afsnit 4 i EBA's SREP-retningslinjer. Litra b) og c) supplerer vurderingerne af emnerne i afsnit 5 i EBA's SREP-retningslinjer, og vurderingen i disse retningslinjer bør indgå i den relevante vurdering i afsnit 5 i EBA's SREP-retningslinjer.

Resultatet af denne vurdering bør, hvor det er relevant, indgå i vurderingen af risikostyring og -kontrol i afsnit 3 i disse retningslinjer.