49. Die zuständigen Behörden sollten prüfen, ob das Institut über geeignete …

Die zuständigen Behörden sollten prüfen, ob das Institut über geeignete Risikomanagementpolitiken, - prozesse und -toleranzschwellen für die ermittelten erheblichen IKT-Risiken verfügt. Diese können Teil des operationellen Risikomanagementrahmens oder eines separaten Dokuments sein. Bei dieser Bewertung sollten die zuständigen Behörden berücksichtigen, ob:

• a. die Risikomanagementrichtlinien vom Leitungsorgan formalisiert und genehmigt wurde und hinreichende Richtlinien in Bezug auf die IKT-Risikobereitschaft des Instituts und die wichtigsten IKT-Risikomanagementziele und/oder angewandten IKT-Risikotoleranzschwellen enthält. Außerdem sollten alle relevanten Stakeholder über die relevante IKT- Risikomanagementrichtlinien informiert werden;
• b. die anwendbare Politik alle wesentlichen Elemente für das Risikomanagement der ermittelten erheblichen IKT-Risiken umfasst;
• c. das Institut einen Prozess und zugrunde liegende Verfahren zur Ermittlung (z. B. „Risikokontroll-Selbstbewertung“, Risikoszenarioanalyse) und Überwachung der einbezogenen erheblichen IKT-Risiken umgesetzt hat; und
• d. das Institut über eine Berichtslinie zum IKT-Risikomanagement verfügt, die der Geschäftsleitung und dem Leitungsorgan zeitgerechte Informationen zur Verfügung stellt und der Geschäftsleitung und/oder dem Leitungsorgan die Möglichkeit gibt, zu bewerten und zu kontrollieren, ob die IKT-Risikominderungspläne und -maßnahmen des Instituts mit den genehmigten Risikobereitschafts- und/oder -toleranzschwellen (soweit relevant) übereinstimmen, und Änderungen erheblicher IKT-Risiken zu überwachen.

3.3.2 Organisationsmanagement- und Aufsichtsrahmen

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/