49. Die zuständigen Behörden sollten prüfen, ob das Institut über geeignete …

Die zuständigen Behörden sollten prüfen, ob das Institut über geeignete Risikomanagementpolitiken, - prozesse und -toleranzschwellen für die ermittelten erheblichen IKT-Risiken verfügt. Diese können Teil des operationellen Risikomanagementrahmens oder eines separaten Dokuments sein. Bei dieser Bewertung sollten die zuständigen Behörden berücksichtigen, ob:

• a. die Risikomanagementrichtlinien vom Leitungsorgan formalisiert und genehmigt wurde und hinreichende Richtlinien in Bezug auf die IKT-Risikobereitschaft des Instituts und die wichtigsten IKT-Risikomanagementziele und/oder angewandten IKT-Risikotoleranzschwellen enthält. Außerdem sollten alle relevanten Stakeholder über die relevante IKT- Risikomanagementrichtlinien informiert werden;
• b. die anwendbare Politik alle wesentlichen Elemente für das Risikomanagement der ermittelten erheblichen IKT-Risiken umfasst;
• c. das Institut einen Prozess und zugrunde liegende Verfahren zur Ermittlung (z. B. „Risikokontroll-Selbstbewertung“, Risikoszenarioanalyse) und Überwachung der einbezogenen erheblichen IKT-Risiken umgesetzt hat; und
• d. das Institut über eine Berichtslinie zum IKT-Risikomanagement verfügt, die der Geschäftsleitung und dem Leitungsorgan zeitgerechte Informationen zur Verfügung stellt und der Geschäftsleitung und/oder dem Leitungsorgan die Möglichkeit gibt, zu bewerten und zu kontrollieren, ob die IKT-Risikominderungspläne und -maßnahmen des Instituts mit den genehmigten Risikobereitschafts- und/oder -toleranzschwellen (soweit relevant) übereinstimmen, und Änderungen erheblicher IKT-Risiken zu überwachen.

3.3.2 Organisationsmanagement- und Aufsichtsrahmen

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.