Titel 1 - Allgemeine Bestimmungen

Die zuständigen Behörden sollten die Bewertung des IKT-Risikos sowie der Governance-Regeln und der IKT-Strategie im Rahmen des SREP-Prozesses gemäß dem in Titel 2 der EBA-SREP-Leitlinien festgelegten Mindestbeteiligungsmodell und gemäß den darin niedergelegten Verhältnismäßigkeitskriterien vornehmen. Dies bedeutet insbesondere Folgendes:

• a. die Häufigkeit der IKT-Risikobewertung würde von dem Mindestbeteiligungsmodell, das von der SREP-Kategorie angetrieben wird, der ein Institut zugeordnet ist, und seinem spezifischen aufsichtlichen Prüfprogramm abhängen, und
• b. die Gründlichkeit, Detailliertheit und Intensität der IKT-Bewertung sollten zur Größe, zur Struktur und zum betrieblichen Umfeld des Instituts sowie zur Art, zum Umfang und zur Komplexität seiner Tätigkeiten in einem angemessenen Verhältnis stehen.

Der Grundsatz der Verhältnismäßigkeit gilt in allen diesen Leitlinien für den Umfang, die Häufigkeit und die Intensität des aufsichtlichen Engagements und des Dialogs mit einem Institut sowie für die aufsichtlichen Erwartungen bezüglich der Standards, die das Institut erfüllen sollte.

Die zuständigen Behörden können sich auf die Arbeiten berufen, die bereits vom Institut oder von der zuständigen Behörde im Rahmen der Bewertung anderer Risiken oder SREP-Elemente durchgeführt wurden, und diese berücksichtigen, um eine Aktualisierung der Bewertung vorzunehmen. Bei der Durchführung der in diesen Leitlinien festgelegten Bewertungen sollten die zuständigen Behörden den Ansatz und die Methodik der aufsichtlichen Bewertung wählen, die am besten geeignet sind und die dem Institut angemessen sind, und die zuständigen Behörden sollten vorhandene und verfügbare Unterlagen (z. B. relevante Berichte und sonstige Unterlagen, Sitzungen mit (Risiko-) Management, Ergebnisse von Vor-Ort-Inspektionen) nutzen und diese in die Bewertung der zuständigen Behörden einfließen lassen.

Die zuständigen Behörden sollten die Ergebnisse ihrer Bewertungen der in diesen Leitlinien festgelegten Kriterien zusammenfassen und sie nutzen, um zu Schlussfolgerungen im Hinblick auf die Bewertung der SREP-Elemente gemäß den EBA-SREP-Leitlinien zu gelangen.

Insbesondere sollte die gemäß Titel 2 dieser Leitlinien durchgeführte Bewertung der Governance- und IKT-Strategie zu Ergebnissen führen, die in die Zusammenfassung der Ergebnisse der Bewertung der internen Governance und des institutsweiten Kontrollelements des SREP gemäß Titel 5 der EBA-SREP-Leitlinien einfließen und die jeweilige Punktebewertung dieses SREP-Elements widerspiegeln. Ferner sollten die zuständigen Behörden berücksichtigen, dass wesentliche nachteilige Auswirkungen der IKT-Strategiebewertung auf die Geschäftsstrategie des Instituts oder etwaige Bedenken, dass das Institut möglicherweise nicht über ausreichende IKT-Ressourcen und IKT-Kapazitäten verfügt, um wichtige geplante strategische Änderungen durchzuführen und zu unterstützen, in die gemäß Titel 4 der EBA-SREP-Leitlinien durchgeführte Geschäftsmodellanalyse einfließen sollten.

Das Ergebnis der Bewertung des IKT-Risikos gemäß Titel 3 dieser Leitlinien sollte in die Ergebnisse der Bewertung des operationellen Risikos einfließen und als Einflussfaktor in Bezug auf die relevante Punktzahl gemäß Titel 6.4 der EBA-SREP-Leitlinien betrachtet werden.

Es wird darauf hingewiesen, dass, wenngleich die zuständigen Behörden die Unterkategorien von Risiken grundsätzlich als Teil der Hauptkategorien bewerten sollten (d. h. das IKT-Risiko wird als Bestandteil des operationellen Risikos bewertet), die zuständigen Behörden Unterkategorien auf individueller Basis bewerten können, wenn sie diese für erheblich erachten. Sollte das IKT-Risiko von der zuständigen Behörde als erhebliches Risiko ermittelt werden, so stellen diese Leitlinien zu diesem Zweck auch eine Bewertungstabelle zur Verfügung (Tabelle 1), die zur Bereitstellung einer eigenständigen Unterkategorie-Punktebewertung des IKT-Risikos gemäß dem Gesamtansatz zur Bewertung der Kapitalrisiken in den EBA-SREP-Leitlinien genutzt werden sollte.

Um zu prüfen, ob das IKT-Risiko als erheblich betrachtet werden sollte und daher die Möglichkeit besteht, dass das IKT-Risiko als einzelne Unterkategorie des operationellen Risikos zu beurteilen und mit Punkten zu bewerten ist, können die zuständigen Behörden die in Abschnitt 6.1 der EBA-SREP-Leitlinien festgelegten Kriterien verwenden.

Bei der Anwendung dieser Leitlinien sollten die zuständigen Behörden gegebenenfalls die nicht erschöpfende Liste der IKT-Risiko-Unterkategorien und Risikoszenarien, wie sie im Anhang aufgeführt sind, berücksichtigen, wobei im Anhang der Schwerpunkt auf IKT-Risiken liegt, die zu hohen Verlusten führen können. Die zuständigen Behörden können einige der in der Taxonomie enthaltenen IKT-Risiken ausschließen, falls diese für ihre Beurteilung nicht relevant sind. Es wird erwartet, dass die Institute ihre eigenen Risiko-Taxonomien beibehalten, statt die im Anhang aufgeführte IKT-Risiko-Taxonomie zu verwenden.

Werden Leitlinien in Verbindung mit grenzüberschreitenden Bankengruppen und deren Unternehmen angewandt und wurde ein Aufsichtskollegium eingerichtet, sollten die involvierten zuständigen Behörden im Rahmen ihrer Zusammenarbeit für die SREP-Bewertung gemäß Abschnitt 11.1 der EBA-SREP-Leitlinien den genauen und ausführlichen Anwendungsbereich jedes Informationselements konsequent für alle Gruppenunternehmen soweit wie möglich koordinieren.