3.1 Allgemeine Überlegungen

Die zuständigen Behörden sollten bewerten, ob das Institut seine IKT-Risiken ordnungsgemäß ermittelt, bewertet und gemindert hat. Dieser Prozess sollte Teil des operationellen Risikomanagementrahmens sein und mit dem auf das operationelle Risiko anwendbaren Ansatz kongruent sein.

Die zuständigen Behörden sollten zunächst die erheblichen inhärenten IKT-Risiken ermitteln, denen das Institut ausgesetzt ist oder sein könnte; daran sollte sich eine Bewertung der Wirksamkeit des IKT-Risikomanagementrahmens und der Verfahren und Kontrollen zur Minderung dieser Risiken anschließen. Das Ergebnis der Bewertung sollte sich in einer Zusammenfassung der Feststellungen widerspiegeln, die in die Punktzahl des operationellen Risikos in den EBA-SREP-Leitlinien einfließt. Wenn das IKT-Risiko als erheblich eingestuft wird und die zuständigen Behörden eine einzelne Punktzahl vergeben möchten, sollte Tabelle 1 verwendet werden, um eine Punktzahl als Teilrisiko des operationellen Risikos zu vergeben.

Bei der Durchführung der Bewertung unter diesem Titel sollten die zuständigen Behörden alle verfügbaren Informationsquellen als Grundlage für die Ermittlung ihrer aufsichtlichen Bewertungsprioritäten verwenden, wie in Absatz 127 von Titel 6 der EBA-SREP-Leitlinien angegeben,

• z. B. die Risikomanagementaktivitäten, die Berichterstattung und die Ergebnisse des Instituts. Die zuständigen Behörden sollten auch andere Informationsquellen nutzen, um diese Bewertung durchzuführen, einschließlich gegebenenfalls:
• a. Selbstbewertungen von IKT-Risiko und Kontrollen (falls in den ICAAP-Informationen enthalten);
• b. mit dem IKT-Risiko verbundene Managementinformationen (MI), die dem Leitungsorgan des Instituts vorgelegt werden, z. B. periodische und ereignisbezogene IKT-Risikoberichterstattung (auch in der Datenbank zu den Betriebsverlusten), IKT-Risiko-Positionsdaten aus der Risikomanagementfunktion des Instituts;
• c. IKT-bezogene interne und externe Prüfungsfeststellungen, die dem Prüfungsausschuss des Instituts übermittelt werden.