49. De kompetente myndigheder bør gennemgå, om instituttet har passende risikostyringspolitikker, - …

De kompetente myndigheder bør gennemgå, om instituttet har passende risikostyringspolitikker, - processer og risikotolerance for de identificerede væsentlige IKT-risici. Disse kan indgå i rammerne for operationel risikostyring eller i et særskilt dokument. De kompetente myndigheder bør i forbindelse med denne vurdering tage hensyn til:

• a. om risikostyringspolitikken er formaliseret og godkendt af ledelsen og indeholder tilstrækkelig vejledning om instituttets IKT-risikovillighed og de vigtigste forfulgte IKT-risikostyringsmålsætninger og/eller anvendte IKT-risikotolerancetærskler. Den relevante IKT-risikostyringspolitik bør ligeledes formidles til alle relevante interessenter
• b. om den gældende politik dækker alle betydelige elementer for risikostyring af de identificerede væsentlige IKT-risici
• c. om instituttet har implementeret en proces og underliggende procedurer til identificering (f.eks. egenvurdering af risikokontrol (RCSA), analyser af risikoscenarier) og overvågning af de involverede væsentlige IKT-risici og
• d. om instituttet har en IKT-risikostyringsrapportering, der giver den daglige ledelse og ledelsesorganet rettidige oplysninger, og som lader den daglige ledelse og/eller ledelsesorganet vurdere og overvåge, om instituttets planer og foranstaltninger for IKT-risikoreduktion stemmer overens med den godkendte risikovillighed og/eller -tolerance (hvor dette er relevant) og overvåge ændringer af væsentlige IKT-risici.

3.3.2 Organisationsstyring og løbende overvågning

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/