60. De kompetente myndigheder bør navnlig vurdere, om instituttet har effektive rammer på plads til …

De kompetente myndigheder bør navnlig vurdere, om instituttet har effektive rammer på plads til at identificere, forstå og måle IKT-outsourcingrisici og navnlig kontroller og et kontrolmiljø til reduktion af risici i forbindelse med væsentlige outsourcede IKT-tjenester, som står i forhold til instituttets størrelse, aktiviteter og IKT-risikoprofil og omfatter:

• a. en vurdering af IKT-outsourcingens indvirkning på instituttets risikostyring i forbindelse med brug af leverandører (dvs. leverandører af cloudservices) og deres tjenester i indkøbsprocessen, som den daglige ledelse eller ledelsesorganet har dokumenteret og taget højde for i beslutningen om at outsource tjenester. Instituttet bør gennemgå leverandørens IKT-risikostyringspolitikker og IKT-kontroller og -kontrolmiljø for at sikre, at de opfylder instituttets interne risikostyringsmål og risikovillighed. Denne gennemgang bør ajourføres løbende i outsourcingperioden under hensyntagen til kendetegnene ved de outsourcede tjenester
• b. overvågning af IKT-risiciene ved de outsourcede tjenester i outsourcingperioden som led i instituttets risikostyring, der indgår i instituttets IKT-risikostyringsrapportering (f.eks. rapportering om den forretningsmæssige kontinuitet, sikkerhedsrapportering)
• c. overvågning og sammenligning af de modtagne serviceniveauer og de aftalte serviceniveauer, som bør indgå i outsourcingkontrakten eller serviceniveauaftalen (SLA) og
• d. tilstrækkelige medarbejdere, ressourcer og kompetencer til at overvåge og styre IKT-risici fra de outsourcede tjenester.

9 Basel Committee on Banking Supervision, Principles for effective risk data aggregation and risk reporting, januar 2013, findes online: http://www.bis.org/publ/bcbs239.pdf.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/