2.1 Allgemeine Grundsätze

Die zuständigen Behörden sollten bewerten, ob der allgemeine Governance-Rahmen und der interne Kontrollrahmen des Instituts die IKT-Systeme und die damit verbundenen Risiken ordnungsgemäß abdecken und ob das Leitungsgremium diese Aspekte angemessen angeht und verwaltet, da die IKT für das ordnungsgemäße Funktionieren eines Instituts von integraler Bedeutung ist.

Bei der Durchführung dieser Bewertung sollten sich die zuständigen Behörden auf die Anforderungen und Standards für eine verantwortungsvolle interne Governance und die Risikokontrollregelungen beziehen, die in den EBA-Leitlinien für interne Governance (GL 44)⁴ und in den internationalen Leitfaden in diesem Bereich festgelegt sind, soweit diese angesichts der Spezifität von IKT-Systemen und -Risiken anwendbar sind.

Die Bewertung in diesem Titel deckt nicht die spezifischen Elemente der IKT-System-Governance, des Risikomanagements und der Risikokontrollen ab, die auf die Steuerung spezifischer IKT-Risiken ausgerichtet sind, die unter Titel 3 dieser Leitlinien behandelt werden, sondern konzentriert sich auf folgende Bereiche:

• a. IKT-Strategie – ob das Institut über eine IKT-Strategie verfügt, die hinreichend geregelt ist und mit der Geschäftsstrategie des Instituts in Einklang steht;
• b. interne Governance – ob die internen Governance-Regelungen des Instituts in Bezug auf die IKT-Systeme des Instituts angemessen sind; und
• c. IKT-Risiko innerhalb des Risikomanagementrahmens – ob der Risikomanagementrahmen und der interne Kontrollrahmen des Instituts die IKT-Systeme des Instituts angemessen sichern.

Punkt a), auf den in Absatz 22 verwiesen wird, enthält Informationen über die Elemente der Governance des Instituts und sollte vor allem in die Bewertung des unter Titel 4 der EBA-SREP-Leitlinien dargelegten Geschäftsmodells einfließen. Die Punkte b) und c) stellen eine weitere Ergänzung zu den Bewertungen der Themen dar, die unter Titel 5 der EBA-SREP-Leitlinien niedergelegt sind, und die in diesen Leitlinien beschriebene Bewertung sollte in die jeweilige Bewertung gemäß Titel 5 der EBA-SREP-Leitlinien einfließen.

Das Ergebnis dieser Bewertung sollte gegebenenfalls in die Bewertung des Risikomanagements und der Risikokontrollen in Titel 3 dieser Leitlinien einfließen.

4 EBA-Leitlinien für interne Governance, GL 44, 27. September 2011.