2.4 IKT-risiko i instituttets risikostyringsrammer

I vurderingen af instituttets risikostyring og interne kontrol som beskrevet i afsnit 5 i EBA's SREP-retningslinjer bør de kompetente myndigheder overveje, om instituttets rammer for risikostyring og intern kontrol i tilstrækkelig grad sikrer instituttets IKT-systemer på en måde, der svarer til instituttets størrelse og aktiviteter samt dets IKT-risikoprofil som defineret i afsnit 3. Navnlig bør de kompetente myndigheder fastslå, om:

• a. risikovilligheden og ICAAP dækker IKT-risiciene som led i en mere generel driftsrisikokategori med henblik på at definere den generelle risikostrategi og bestemme den interne kapital, og
• b. IKT-risiciene ligger inden for anvendelsesområdet for instituttets rammer for risikostyring og intern kontrol

De kompetente myndigheder bør foretage vurderingen i litra a) ovenfor under hensyntagen til både forventede og uforudsete scenarier, f.eks. scenarier i stresstest som led i tilsynsprocessen for instituttet.

Specifikt med hensyn til litra b) bør de kompetente myndigheder vurdere, om de uafhængige funktioner for kontrol og intern revision som beskrevet i pkt. 104, litra a), 104, litra d), 105, litra a), og 105, litra c), i EBA's SREP-retningslinjer er hensigtsmæssige i forhold til at sikre tilstrækkelig uafhængighed mellem IKT og kontrol- og revisionsfunktionerne i lyset af instituttets størrelse og IKT-risikoprofil.