2.4 IKT-Risiko im Risikomanagementrahmen des Instituts

Bei der Bewertung des institutsweiten Risikomanagements und der internen Kontrollen des Instituts gemäß Titel 5 der EBA-SREP-Leitlinien sollten die zuständigen Behörden prüfen, ob das Risikomanagement und das interne Kontrollsystem des Instituts die IKT-Systeme des Instituts angemessen und in einer Weise sichern, die der Größe und den Tätigkeiten des Instituts sowie seinem IKT-Risikoprofil gemäß Titel 3 entspricht. Die zuständigen Behörden sollten insbesondere Folgendes bestimmen:

• a. ob die Risikobereitschaft und die ICAAP die IKT-Risiken im Rahmen der breiteren operationellen Risikokategorie für die Bestimmung der Gesamtrisikostrategie und die Festlegung des Eigenkapitals abdecken; und
• b. ob die IKT-Risiken sich innerhalb des Anwendungsbereichs des institutsweiten Risikomanagementrahmens und des internen Kontrollrahmens befinden.

Die zuständigen Behörden sollten die Bewertung unter Punkt (a) oben unter Berücksichtigung sowohl erwarteter als auch nachteiliger Szenarien durchführen, z. B. Szenarien, die im institutsspezifischen oder aufsichtlichen Stresstest enthalten sind.

Unter besonderer Berücksichtigung von Punkt b) sollten die zuständigen Behörden bewerten, ob die in den Absätzen 104 (a), 104 (d), 105 (a) und 105 (c) der EBA-SREP-Leitlinien enthaltenen unabhängigen Kontroll- und internen Prüfungsfunktionen angemessen sind, um mit Blick auf die Größe und das IKT-Risikoprofil des Instituts eine ausreichende Unabhängigkeit zwischen der IKT und den Kontroll- und Prüfungsfunktionen zu gewährleisten.