6.4. Αξιολόγηση του λειτουργικού κινδύνου

Κατά την αξιολόγηση του πλαισίου διαχείρισης του λειτουργικού κινδύνου, οι αρμόδιες αρχές πρέπει να αξιολογούν, μεταξύ άλλων, τη συμμόρφωση του ιδρύματος προς τις νομικές πράξεις που δημοσιεύονται χωριστά στον διαδικτυακό τόπο της ΕΑΤ, όπως αναφέρεται στην παράγραφο 12.

Οι αρμόδιες αρχές πρέπει να αξιολογούν τον λειτουργικό κίνδυνο σε όλους τους επιχειρηματικούς τομείς και τις δραστηριότητες του ιδρύματος, λαμβάνοντας υπόψη τα πορίσματα από την αξιολόγηση των ρυθμίσεων εσωτερικής διακυβέρνησης και των ελέγχων σε επίπεδο ιδρύματος, όπως προσδιορίζονται στον τίτλο 5. Κατά τη διενέργεια αυτής της αξιολόγησης, οι αρμόδιες αρχές πρέπει να προσδιορίσουν τους τρόπους με τους οποίους μπορεί να εκδηλωθεί ο λειτουργικός κίνδυνος, λαμβάνοντας επίσης υπόψη το σύνολο δεδομένων ζημίας του ιδρύματος, καθώς και τις πιθανές επιπτώσεις από άλλους συναφείς κινδύνους (π.χ. λειτουργικός κίνδυνος που σχετίζεται με πιστωτικά όρια και με την αγορά).

Οι αρμόδιες αρχές πρέπει να αξιολογούν τη σημαντικότητα του λειτουργικού κινδύνου που προκύπτει από τρίτους παρόχους υπηρεσιών, συμπεριλαμβανομένης της συγκέντρωσης (σε επίπεδο οντότητας και, κατά περίπτωση, σε επίπεδο ομίλου) σε μία ή περισσότερες υπηρεσίες που παρέχονται από έναν και μόνο τρίτο πάροχο υπηρεσιών (άμεσα ή έμμεσα μέσω αλυσίδων υπεργολαβίας) ή περιορισμένο αριθμό τρίτων παρόχων που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες του ιδρύματος, καθώς και το κατά πόσον αυτές θα μπορούσαν να επηρεάσουν την επιχειρησιακή ανθεκτικότητα, τις επιδόσεις και τη διαχείριση κινδύνου του ιδρύματος. Κατά τη διενέργεια αυτής της αξιολόγησης, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη τον βαθμό στον οποίο άλλα ιδρύματα βασίζονται στους ίδιους τρίτους παρόχους υπηρεσιών, εφόσον διαθέτουν σχετικές πληροφορίες.

Κατά την αξιολόγηση του λειτουργικού κινδύνου, οι αρμόδιες αρχές πρέπει να αξιολογούν τον κίνδυνο ΤΠΕ, σύμφωνα με τον DORA, και τις πιθανές επιπτώσεις του σε κρίσιμες ή σημαντικές λειτουργίες του ιδρύματος, συμπεριλαμβανομένων τυχόν δυνητικών χρηματοοικονομικών επιπτώσεων, επιπτώσεων στη φήμη, κανονιστικών και στρατηγικών επιπτώσεων στο ίδρυμα.

Οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον το ίδρυμα εφαρμόζει κατάλληλη προσέγγιση επιχειρησιακής ανθεκτικότητας ώστε να είναι σε θέση να αντέξει, να προσαρμοστεί και να ανακάμψει από διαταραχές όταν αυτές προκύπτουν, καθώς και αν η προσέγγιση αυτή έχει εναρμονιστεί επαρκώς και με συνέπεια με το υφιστάμενο πλαίσιο διαχείρισης κινδύνων, τα σχέδια επιχειρησιακής συνέχειας και τη διαχείριση από τρίτους.

Κατά την αξιολόγηση του λειτουργικού κινδύνου, οι αρμόδιες αρχές πρέπει να εξετάζουν, κατά περίπτωση, αν οι πολιτικές και οι διαδικασίες του ιδρύματος εντοπίζουν, αξιολογούν και διαχειρίζονται κατάλληλα τους λειτουργικούς κινδύνους που προκύπτουν από δραστηριότητες κρυπτοστοιχείων και την τεχνολογία υποστήριξής τους.

Οι αρμόδιες αρχές πρέπει να αξιολογούν τον κίνδυνο φήμης σε συνδυασμό με τον λειτουργικό κίνδυνο, καθώς συνδέεται άρρηκτα με γεγονότα λειτουργικού κινδύνου. Ωστόσο, τα αποτελέσματα της αξιολόγησης του κινδύνου φήμης δεν πρέπει να αποτυπώνονται στη βαθμολογία του λειτουργικού κινδύνου, αλλά, κατά περίπτωση, πρέπει να θεωρούνται μέρος της ανάλυσης επιχειρηματικού μοντέλου ή/και της αξιολόγησης του κινδύνου ρευστότητας, καθώς οι βασικές του συνέπειες μπορούν να υπονομεύσουν την εμπιστοσύνη των επενδυτών, των καταθετών ή των συμμετεχόντων στη διατραπεζική αγορά προς το ίδρυμα.

Οι αρμόδιες αρχές πρέπει να αξιολογούν τις επιπτώσεις των κινδύνων ΠΚΔ στους εγγενείς λειτουργικούς κινδύνους και στους κινδύνους φήμης, καθώς και την επάρκεια των ελέγχων του λειτουργικού κινδύνου και του κινδύνου φήμης που σχετίζονται με τους κινδύνους ΠΚΔ, δίνοντας προτεραιότητα στους περιβαλλοντικούς φυσικούς κινδύνους και κινδύνους μετάβασης. Ειδικότερα, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη τους περιβαλλοντικούς κινδύνους και τους κινδύνους προβολής ψευδοοικολογικής ταυτότητας («πράσινο ξέπλυμα») κατά τη διενέργεια της αξιολόγησης του νομικού κινδύνου και του κινδύνου φήμης.

6.4.2. Αξιολόγηση εγγενούς λειτουργικού κινδύνου

Οι αρμόδιες αρχές πρέπει να κατανοούν πλήρως τα εγγενή ανοίγματα του ιδρύματος σε λειτουργικό κίνδυνο και να αξιολογούν τη σημασία των επιπτώσεων του εν λόγω κινδύνου για την προληπτική εποπτεία του ιδρύματος, καθώς και τις επιπτώσεις του στην ικανότητά του να επιτελεί κρίσιμες ή σημαντικές λειτουργίες σε περίπτωση διαταραχών.

Για την υποστήριξη αυτής της αξιολόγησης, οι αρμόδιες αρχές πρέπει να εξετάζουν την απαίτηση ιδίων κεφαλαίων για τον λειτουργικό κίνδυνο σε σύγκριση με τη συνολική απαίτηση ιδίων κεφαλαίων και, κατά περίπτωση, το εσωτερικό κεφάλαιο που διατίθεται για τον λειτουργικό κίνδυνο από το ίδρυμα σε σύγκριση με το συνολικό εσωτερικό κεφάλαιο. Επιπλέον, οι αρμόδιες αρχές πρέπει να αξιοποιούν τις γνώσεις που αποκτώνται από την αξιολόγηση άλλων στοιχείων της ΔΕΕΑ (ιδίως από τον τίτλο 4 και τον τίτλο 5), από τη σύγκριση με ομάδα ομοειδών ιδρυμάτων, από οποιεσδήποτε άλλες εποπτικές δραστηριότητες – συμπεριλαμβανομένων των στοιχείων ΚΞΧ/ΧΤ που παρέχουν οι εποπτικές αρχές και οι αρχές εποπτείας της αγοράς– και από άλλες σχετικές πηγές πληροφοριών.

Οι αρμόδιες αρχές πρέπει να εξετάζουν τουλάχιστον τους βασικούς λειτουργικούς παράγοντες κινδύνου, τα πιθανά σενάρια διατάραξης της λειτουργίας και, κατά περίπτωση, να τα αναλύουν ανά επιχειρηματικό τομέα, νομική οντότητα, γεωγραφική τοποθεσία και κατηγορία γεγονότος (με την επιφύλαξη της διαθεσιμότητας δεδομένων) και να συγκρίνουν τη θέση του ιδρύματος με την ομάδα αναφοράς ομοειδών ιδρυμάτων. Οι παράγοντες αυτοί πρέπει να καλύπτουν τουλάχιστον τη βασική στρατηγική του ιδρύματος όσον αφορά τον λειτουργικό κίνδυνο και τη διάθεση για ανάληψη λειτουργικού κινδύνου, το επιχειρηματικό περιβάλλον (συμπεριλαμβανομένης της γεωγραφικής παρουσίας, των λειτουργιών ΤΠΕ και των διαύλων διανομής), τα πρόσφατα σημαντικά εταιρικά γεγονότα (όπως συγχωνεύσεις, εξαγορές, εκποιήσεις και αναδιαρθρώσεις), τα συστήματα ΤΠΕ και άλλες πτυχές που σχετίζονται με ΤΠΕ, σύμφωνα με την ενότητα 6.4.2.3, τις αλλαγές στις διαδικασίες, τις συμφωνίες με τρίτους, τα ζητήματα κανονιστικής συμμόρφωσης, τους επιχειρηματικούς στόχους και τα προγράμματα παροχής κινήτρων, καθώς και άλλους βασικούς παράγοντες που επηρεάζουν τον λειτουργικό κίνδυνο.

Φύση και σημασία των ανοιγμάτων σε λειτουργικούς κινδύνους

Οι αρμόδιες αρχές πρέπει να προσδιορίζουν τη φύση των ανοιγμάτων σε λειτουργικούς κινδύνους αναλύοντας τα ανοίγματα σε σχέση με τις κύριες πηγές και τους κύριους παράγοντες του λειτουργικού κινδύνου ώστε να σχηματίσουν μελλοντοστραφή άποψη για τον μελλοντικό λειτουργικό κίνδυνο. Για την ανάλυση αυτή, οι αρμόδιες αρχές:

• α. μπορούν να εξετάσουν το επιχειρησιακό μοντέλο, τους επιχειρηματικούς τομείς, τα προϊόντα, τις διαδικασίες και τη γεωγραφική παρουσία του ιδρύματος, την αξιολόγηση των εξαρτήσεων και των ανοιγμάτων σε επιχειρησιακό κίνδυνο σε σχέση με τους κύριους παράγοντες κινδύνου (π.χ. διαδικασίες, άτομα, συστήματα και εξωτερικοί παράγοντες) καθώς και τις αλληλεπιδράσεις μεταξύ των παραγόντων κινδύνου, αξιοποιώντας την αυτοαξιολόγηση κινδύνου του ιδρύματος, την ανάλυση ομάδας ομοειδών ιδρυμάτων, δεδομένα και δημόσιες βάσεις δεδομένων ή/και βάσεις δεδομένων κοινοπραξιών, εφόσον είναι διαθέσιμες και σχετικές·
• β. πρέπει να εξετάζουν τόσο τη συχνότητα όσο και τη σοβαρότητα των γεγονότων στα οποία εκτίθεται το ίδρυμα, και να διακρίνουν εκείνα που προκαλούν ζημίες υψηλής σοβαρότητας και εκείνα που συμβαίνουν με υψηλές συχνότητες. Με βάση τη διάκριση αυτή, οι αρμόδιες αρχές πρέπει να αξιολογούν τις τάσεις των απωλειών λειτουργικού κινδύνου και τη συγκέντρωσή τους· και
• γ. πρέπει να αξιοποιούν αναλύσεις σεναρίων και να λαμβάνουν υπόψη τις προγραμματισμένες επιχειρηματικές δραστηριότητες, καθώς και τις αναλύσεις μελλοντικών λειτουργικών κινδύνων που διενεργεί το ίδρυμα, κατά περίπτωση, λαμβάνοντας υπόψη τυχόν διορθωτικά μέτρα και μέτρα μείωσης που ήδη εφαρμόζονται και είναι σε ισχύ.

Μετά τον εντοπισμό και την ανάλυση των κύριων πηγών και παραγόντων που διαμορφώνουν τον λειτουργικό κίνδυνο, οι αρμόδιες αρχές πρέπει να εστιάσουν την προσοχή τους στις πηγές και τους παράγοντες με τις σημαντικότερες πιθανές επιπτώσεις στο ίδρυμα.

Μια βασική πηγή πληροφοριών που πρέπει να λαμβάνουν υπόψη οι αρμόδιες αρχές είναι το σύνολο δεδομένων του ιδρύματος σχετικά με τις ζημίες και τα γεγονότα, καθώς μπορεί να προσφέρει πολύτιμες πληροφορίες σχετικά με την εξέλιξη του προφίλ λειτουργικού κινδύνου του ιδρύματος. Οι αρμόδιες αρχές πρέπει να αξιολογούν περιοδικά την πληρότητα, την ακρίβεια και την ποιότητα των δεδομένων ζημίας. Μια άλλη πηγή πληροφοριών πρέπει να είναι τα αρχεία του ιδρύματος για όλα τα συμβάντα που σχετίζονται με ΤΠΕ και τις σημαντικές κυβερνοαπειλές (σύμφωνα με το άρθρο 17 παράγραφος 2 του DORA) και οι προσδιορισμένες πηγές κινδύνου ΤΠΕ (σύμφωνα με το άρθρο 8 παράγραφος 2 του DORA).

Αξιολόγηση υποκατηγοριών λειτουργικού κινδύνου

Οι αρμόδιες αρχές πρέπει να επικεντρώνουν την αξιολόγηση των υποκατηγοριών λειτουργικού κινδύνου σε εκείνες που θεωρούνται σημαντικές για το ίδρυμα. Οι αρμόδιες αρχές πρέπει επίσης να εφαρμόζουν την εποπτική κρίση τους για τον προσδιορισμό σημαντικών υποκατηγοριών, με βάση όλες τις διαθέσιμες εσωτερικές και εξωτερικές πηγές πληροφοριών. Κατά τη διενέργεια της αξιολόγησης, οι αρμόδιες αρχές πρέπει πάντα να λαμβάνουν υπόψη τις ακόλουθες πτυχές του λειτουργικού κινδύνου³² :

• α. νομικός κίνδυνος·
• β. κίνδυνος υποδείγματος·
• γ. κίνδυνος ΤΠΕ.

6.4.2.1. Νομικός κίνδυνος

³² Ανατρέξτε στο παράρτημα III για μια μη εξαντλητική ανάλυση των υποκατηγοριών λειτουργικού κινδύνου.

Κατά την αξιολόγηση της σημαντικότητας και της σημασίας των ανοιγμάτων του ιδρύματος που ενέχουν νομικό κίνδυνο, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη τα ακόλουθα:

• α. παραπλανητική πώληση προϊόντων ή υπηρεσιών·
• β. σύγκρουση συμφερόντων κατά την επιχειρηματική δραστηριότητα·
• γ. χειραγώγηση των επιτοκίων αναφοράς, των συναλλαγματικών ισοτιμιών ή οποιωνδήποτε άλλων χρηματοοικονομικών μέσων ή δεικτών·
• δ. εμπόδια στην αλλαγή χρηματοπιστωτικών προϊόντων που δεν έχουν λήξει ή/και στην αλλαγή παρόχου χρηματοπιστωτικών υπηρεσιών·
• ε. αυτόματες ανανεώσεις προϊόντων ή κυρώσεις πρόωρης αποχώρησης· ή/και

στ. επεξεργασία καταγγελιών πελατών·

• ζ. παράβαση εθνικών και διεθνών κανόνων και κανονισμών (φορολογικοί κανόνες, εσωτερική απάτη ή εσωτερική κλοπή, κανόνες για την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες, κανόνες για την καταπολέμηση της τρομοκρατίας και οικονομικές κυρώσεις)·
• η. σχετικό με τα κριτήρια ΠΚΔ, ιδίως ανοίγματα σε δικαστικές διαφορές που σχετίζονται με το περιβάλλον και την προβολή ψευδοοικολογικής ταυτότητας («πράσινο ξέπλυμα»).

Οι αρμόδιες αρχές πρέπει να εξετάζουν το αν το ίδρυμα ενδέχεται να επιβαρυνθεί με τυχόν δαπάνες, χρηματικά πρόστιμα, ποινικές ρήτρες ή αποζημιώσεις από νομικές διαδικασίες, καθώς και τον αριθμό και το περιεχόμενο των καταγγελιών. Τα αποτελέσματα της αξιολόγησης του τίτλου 4 πρέπει επίσης να αξιοποιούνται, παράλληλα με τη διεξοδική εξέταση των πολιτικών παροχής κινήτρων, προκειμένου να εξαχθούν σημαντικές πληροφορίες σχετικά με τις πηγές πιθανών παραπτωμάτων. Στο πλαίσιο αυτό, οι αρμόδιες αρχές πρέπει επίσης να εξετάζουν το κατά πόσον το ίδρυμα διαθέτει επαρκή και αποτελεσματικά συστήματα και διαδικασίες για την εφαρμογή και την τήρηση περιοριστικών μέτρων (π.χ. κυρώσεις), συμπεριλαμβανομένης της αξιολόγησης της συμμόρφωσης του ιδρύματος προς τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με τις εσωτερικές πολιτικές, τις διαδικασίες και τους ελέγχους³³ .

³³ Κατευθυντήριες γραμμές της ΕΑΤ σχετικά με τις εσωτερικές πολιτικές, τις διαδικασίες και τους ελέγχους για τη διασφάλιση της εφαρμογής ενωσιακών και εθνικών περιοριστικών μέτρων (EBA/GL/2024/14)

Ωστόσο, η αρμόδια αρχή πρέπει να εφαρμόζει μια μελλοντοστραφή προσέγγιση, η οποία θα λαμβάνει υπόψη τις πιθανές επιπτώσεις των εξελίξεων στο κανονιστικό πλαίσιο και τις ενέργειες των αρμόδιων αρχών όσον αφορά την προστασία του καταναλωτή και την παροχή χρηματοπιστωτικών υπηρεσιών γενικά.

6.4.2.2. Κίνδυνος υποδείγματος

Στο πλαίσιο του λειτουργικού κινδύνου, οι αρμόδιες αρχές πρέπει να αξιολογούν τον κίνδυνο υποδείγματος, με ιδιαίτερη έμφαση στα εσωτερικά προαιρετικά υποδείγματα (π.χ. υποδείγματα τεχνητής νοημοσύνης, τιμολόγησης προϊόντων, καθορισμού και παρακολούθησης ορίων κινδύνου, υποδείγματα ΔΑΕΕΚ/ΔΑΕΕΡ, επιλογές ανάκαμψης).

Για την αξιολόγηση του κινδύνου υποδείγματος, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη:

• α. σε ποιο βαθμό και για ποιους σκοπούς χρησιμοποιεί το ίδρυμα υποδείγματα για τη λήψη αποφάσεων, καθώς και τη σπουδαιότητα των εν λόγω αποφάσεων. Οι αρμόδιες αρχές πρέπει να προσδιορίζουν την επιχειρηματική δραστηριότητα για την οποία το ίδρυμα προβαίνει σε εκτεταμένη χρήση υποδειγμάτων και να αξιολογούν τις πιθανές επιπτώσεις του κινδύνου υποδείγματος, μεταξύ άλλων, μέσω αναλύσεων ευαισθησίας και σεναρίων ή προσομοιώσεων ακραίων καταστάσεων· και
• β. την αξιοπιστία των μηχανισμών ελέγχου (όσον αφορά τις μεθόδους, τη συχνότητα, την παρακολούθηση κ.λπ.), συμπεριλαμβανομένης της διαδικασίας έγκρισης υποδείγματος, των τακτικών αναθεωρήσεων που διενεργούνται και του επιπέδου ευαισθητοποίησης του ιδρύματος όσον αφορά τις ελλείψεις του υποδείγματος ή τις εξελίξεις στην αγορά και στον επιχειρηματικό τομέα.

Όταν τα υποδείγματα χρησιμοποιούνται για σκοπούς λήψης αποφάσεων (π.χ. τιμολόγηση προϊόντων, υποδείγματα τεχνητής νοημοσύνης, αξιολόγηση χρηματοοικονομικών μέσων, κατάρτιση προφίλ πελατών), οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον υπάρχει αξιόπιστη εσωτερική διαδικασία επικύρωσης ή/και διαδικασία επανεξέτασης υποδείγματος, με σκοπό τον εντοπισμό και τη μείωση του κινδύνου υποδείγματος (εξαιρουμένων των υποδειγμάτων βάσει κανονιστικής υποχρέωσης).

Κατά τη διενέργεια της αξιολόγησης του κινδύνου υποδείγματος, οι αρμόδιες αρχές πρέπει να εξετάζουν τις αξιολογήσεις για άλλους κινδύνους κεφαλαίου και κινδύνους ρευστότητας και χρηματοδότησης, ειδικότερα όσον αφορά την επάρκεια των μεθοδολογιών που χρησιμοποιούνται για τη μέτρηση του κινδύνου, την τιμολόγηση και την αποτίμηση στοιχείων του ενεργητικού ή/και υποχρεώσεων. Τα αποτελέσματα της εν λόγω αξιολόγησης πρέπει να τροφοδοτούν τα πορίσματα σχετικά με τον λειτουργικό κίνδυνο.

6.4.2.3. Κίνδυνος ΤΠΕ – Αξιολόγηση εγγενούς κινδύνου ΤΠΕ

Προσδιορισμός ουσιωδών κινδύνων ΤΠΕ

Σύμφωνα με τον DORA, οι αρμόδιες αρχές πρέπει να εξετάζουν τον προσδιορισμό, την ταξινόμηση και την τεκμηρίωση από το ίδρυμα όλων των επιχειρηματικών λειτουργιών, ρόλων και αρμοδιοτήτων που υποστηρίζονται από ΤΠΕ, των πληροφοριακών πόρων³⁴ και των πόρων ΤΠΕ³⁵ που υποστηρίζουν τις εν λόγω λειτουργίες, καθώς και τους ρόλους και τις εξαρτήσεις τους σε σχέση με τον κίνδυνο ΤΠΕ. Η εξέταση αυτή πρέπει να βοηθά τις αρμόδιες αρχές να κατανοούν πλήρως τα εγγενή ανοίγματα του ιδρύματος σε κίνδυνο ΤΠΕ (προφίλ κινδύνου ΤΠΕ), να εντοπίζουν σημαντικούς εγγενείς κινδύνους ΤΠΕ και να διαμορφώνουν άποψη σχετικά με τις επιπτώσεις τους στην προληπτική εποπτεία. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη τουλάχιστον τα ακόλουθα, κατά περίπτωση:

• α. την αναφορά σχετικά με την εξέταση του πλαισίου διαχείρισης κινδύνων ΤΠΕ (σύμφωνα με το άρθρο 6 παράγραφος 5 του DORA)·
• β. τις πηγές κινδύνων ΤΠΕ, ιδίως την έκθεση σε κίνδυνο από και προς άλλες χρηματοοικονομικές οντότητες, η οποία προσδιορίζεται από το ίδρυμα σύμφωνα με το άρθρο 8 παράγραφος 2 του DORA·
• γ. τα αναφερόμενα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ (σύμφωνα με το άρθρο 19 παράγραφος 1 του DORA), συμπεριλαμβανομένης της τάσης των συγκεντρωτικών ετήσιων δαπανών και ζημιών, οι οποίες προκαλούνται από μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ (σύμφωνα με το άρθρο 11 παράγραφος 10 του DORA)·
• δ. τα αποτελέσματα των δοκιμών που προβλέπονται στο πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας (σύμφωνα με το άρθρο 24 του DORA), συμπεριλαμβανομένης της σύνοψης των ευρημάτων των δοκιμών παρείσδυσης απειλών (Threat-led penetration testing - TLPT) και των σχετικών σχεδίων αποκατάστασης (σύμφωνα με το άρθρο 26 παράγραφος 6 του DORA)·
• ε. το μητρώο πληροφοριών (σύμφωνα με το άρθρο 28 παράγραφος 3 του DORA), μεταξύ άλλων του βαθμού συγκέντρωσης σε τρίτους παρόχους υπηρεσιών ΤΠΕ, συμπεριλαμβανομένων των ενδοομιλικών παρόχων υπηρεσιών ΤΠΕ, του είδους υπηρεσιών ΤΠΕ ή/και των συστημάτων ΤΠΕ·

στ. τις συστάσεις και τις γνώμες των κύριων εποπτικών φορέων (σύμφωνα με το άρθρο 40 παράγραφος 3 και το άρθρο 42 παράγραφος 7 του DORA) και τις σχετικές απαντήσεις, εκθέσεις και πληροφορίες από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ (σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο γ), το άρθρο 42 παράγραφος 1 και το άρθρο 48 παράγραφος 2 του DORA)·

• ζ. το επίπεδο πολυπλοκότητας των συστημάτων ΤΠΕ και τα αποτελέσματα της αξιολόγησης κινδύνων ΤΠΕ στα παρωχημένα συστήματα ΤΠΕ (σύμφωνα με το άρθρο 8 παράγραφος 7 του DORA)·
• η. την αξιολόγηση κινδύνων έπειτα από σημαντικές αλλαγές (σύμφωνα με το άρθρο 8 παράγραφος 3 του DORA)·
• θ. το επίπεδο θέσπισης και ενσωμάτωσης καινοτόμων λύσεων ΤΠΕ·
• ι. τις τοποθεσίες, δηλαδή τις περιφέρειες ή τις χώρες όπου βρίσκονται κέντρα δεδομένων και ευαίσθητοι οριοθετημένοι χώροι, συμπεριλαμβανομένων εκείνων όπου παρέχονται υπηρεσίες ΤΠΕ από τρίτους παρόχους υπηρεσιών ΤΠΕ βάσει συμβατικών ρυθμίσεων, καθώς και την τοποθεσία επεξεργασίας και αποθήκευσης των δεδομένων·

ια. οποιεσδήποτε σχετικές σημαντικές ελλείψεις ή αδυναμίες που εντοπίζονται σύμφωνα με τον τίτλο 5·

ιβ. τις αυτοαξιολογήσεις κινδύνων ΤΠΕ και ελέγχων (εάν παρέχονται στις πληροφορίες ΔΑΕΕΚ)·

ιγ. τις πληροφορίες σχετικά με τη διαχείριση κινδύνων ΤΠΕ που υποβάλλονται στο διοικητικό όργανο του ιδρύματος·

ιδ. τα ευρήματα εσωτερικών και εξωτερικών ελέγχων που σχετίζονται με τις ΤΠΕ·

ιε. το περιβάλλον εξωτερικών απειλών, συμπεριλαμβανομένων των πληροφοριών σχετικά με τις απειλές και τις ευπάθειες.

Εξέταση συστημάτων ΤΠΕ και υπηρεσιών ΤΠΕ

³⁴ Άρθρο 3 παράγραφος 6 του Κανονισμού (ΕΕ) 2022/2554

³⁵ Άρθρο 3 παράγραφος 7 του Κανονισμού (ΕΕ) 2022/2554

Οι αρμόδιες αρχές πρέπει να εξετάζουν τη σχετική τεκμηρίωση, τη μεθοδολογία και τις διαδικασίες του ιδρύματος και να διαμορφώνουν άποψη σχετικά με το κατά πόσον το ίδρυμα έχει προσδιορίσει δεόντως τα συστήματα ΤΠΕ και τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη:

• α. τα συστήματα ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, καθώς και τους κρίσιμους πληροφοριακούς πόρους και τους πόρους ΤΠΕ που προσδιορίζονται από το ίδρυμα (σύμφωνα με το άρθρο 8 του DORA)·
• β. τις βασικές διαδικασίες που εξαρτώνται από τρίτους παρόχους υπηρεσιών ΤΠΕ, συμπεριλαμβανομένων των διασυνδέσεων με τρίτους παρόχους υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι οποίες προσδιορίζονται από το ίδρυμα (σύμφωνα με το άρθρο 8 παράγραφος 5 του DORA).

Προσδιορισμός και χαρτογράφηση σημαντικών κινδύνων ΤΠΕ σε συστήματα και υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες

Στη συνέχεια, οι αρμόδιες αρχές πρέπει να αντιστοιχίσουν τον σημαντικό κίνδυνο ΤΠΕ που έχει εντοπιστεί στις κατηγορίες κινδύνου ΤΠΕ που ορίζονται στο παράρτημα III. Τα ιδρύματα αναμένεται να διατηρούν τη δική τους κατηγοριοποίηση αντί να χρησιμοποιούν εκείνη που ορίζεται στο παράρτημα.

6.4.3. Αξιολόγηση του πλαισίου διαχείρισης και ελέγχου λειτουργικού κινδύνου

Οι αρμόδιες αρχές πρέπει να αξιολογούν το πλαίσιο και τις ρυθμίσεις που εφαρμόζει το ίδρυμα για τη διαχείριση και τον έλεγχο του λειτουργικού κινδύνου λαμβάνοντας υπόψη το αποτέλεσμα της ανάλυσης του συνολικού πλαισίου διαχείρισης κινδύνου και εσωτερικού ελέγχου στο οποίο αναφέρεται ο τίτλος 5, καθώς αυτό επηρεάζει τα ανοίγματα λειτουργικού κινδύνου του ιδρύματος. Όσον αφορά τον κίνδυνο ΞΧ/ΧΤ, η αρμόδια αρχή πρέπει να λαμβάνει υπόψη την αξιολόγηση που παρέχεται από την εποπτική αρχή ΚΞΧ/ΧΤ.

Στρατηγική και διάθεση για ανάληψη λειτουργικού κινδύνου

Οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον το ίδρυμα διαθέτει ορθή, σαφώς διατυπωμένη και τεκμηριωμένη στρατηγική λειτουργικού κινδύνου και ένα επίπεδο διάθεσης για ανάληψη κινδύνου που έχει εγκριθεί από το διοικητικό όργανο, στο οποίο περιγράφονται η φύση, τα είδη και τα επίπεδα λειτουργικού κινδύνου που το ίδρυμα είναι διατεθειμένο να αναλάβει. Για την αξιολόγηση αυτή, μεταξύ άλλων παραγόντων, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη τον ρόλο του διοικητικού οργάνου στον καθορισμό, την έγκριση, την εφαρμογή και την επανεξέταση της στρατηγικής και της διάθεσης για ανάληψη λειτουργικού κινδύνου (συμπεριλαμβανομένων της διάθεσης για ανάληψη κινδύνου ΤΠΕ και της στρατηγικής ψηφιακής λειτουργικής ανθεκτικότητας), καθώς και την επαρκή κάλυψη και την καταλληλότητα της στρατηγικής σε σχέση με τη φύση και τη σημαντικότητα του προφίλ λειτουργικού κινδύνου του ιδρύματος.

Οργανωτικό πλαίσιο και πλαίσιο εσωτερικού ελέγχου

Οι αρμόδιες αρχές πρέπει να αξιολογούν τη συμμόρφωση του ιδρύματος προς το άρθρο 323 του κανονισμού (ΕΕ) αριθ. 575/2013. Στο πλαίσιο αυτής της αξιολόγησης, οι αρμόδιες αρχές πρέπει να αξιολογούν την αρτιότητα και την αποτελεσματικότητα του οργανωτικού πλαισίου και των ρυθμίσεων διακυβέρνησης για τη διασφάλιση αποτελεσματικής διαχείρισης, μέτρησης και ελέγχου του λειτουργικού κινδύνου, με επαρκείς ανθρώπινους και τεχνικούς πόρους για την εκτέλεση των απαιτούμενων καθηκόντων. Οι αρμόδιες αρχές πρέπει να συνεκτιμούν κατά πόσον έχουν καθοριστεί σαφείς γραμμές ευθύνης για τον εντοπισμό, την αξιολόγηση, τη μείωση, την παρακολούθηση και την αναφορά του λειτουργικού κινδύνου, καθώς και την τήρηση του μοντέλου των τριών γραμμών άμυνας.

Οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον το ίδρυμα διαθέτει ισχυρό πλαίσιο ελέγχου και αξιόπιστες δικλείδες ασφαλείας για τον μετριασμό του λειτουργικού κινδύνου του, συμπεριλαμβανομένων κατάλληλων πολιτικών και διαδικασιών που καλύπτουν και τον υπολειπόμενο κίνδυνο, καθώς και κατά πόσον αυτά συνάδουν με τη διάθεση για ανάληψη κινδύνου και τη στρατηγική διαχείρισης του λειτουργικού κινδύνου του ιδρύματος και καλύπτουν όλες τις βασικές δραστηριότητες και διαδικασίες. Στο πλαίσιο αυτό περιλαμβάνεται, μεταξύ άλλων, η αξιολόγηση του κατά πόσον οι εν λόγω πολιτικές και διαδικασίες τυποποιούνται με σαφήνεια, κοινοποιούνται και εφαρμόζονται με συνέπεια σε ολόκληρο το ίδρυμα.

Οι αρμόδιες αρχές πρέπει επίσης να αξιολογούν τη λειτουργικότητα της λειτουργίας εσωτερικής επιθεώρησης όσον αφορά την επάρκεια, το πεδίο εφαρμογής και τη συχνότητα των εσωτερικών επιθεωρήσεων σχετικά με το πλαίσιο διαχείρισης λειτουργικού κινδύνου. Επιχειρησιακή συνέχεια, απόκριση και ανάκαμψη

Οι αρμόδιες αρχές πρέπει να αξιολογούν τη συμμόρφωση του ιδρύματος προς (i) τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την εσωτερική διακυβέρνηση όσον αφορά τη συνολική διαχείριση της επιχειρησιακής συνέχειας και (ii) τον DORA όσον αφορά την πολιτική επιχειρησιακής συνέχειας των ΤΠΕ και τα σχέδια αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ. Στο πλαίσιο αυτό, οι αρμόδιες αρχές πρέπει να προσδιορίσουν κατά πόσον η πολιτική συνέχειας των ΤΠΕ και τα σχέδια αντιμετώπισης και ανάκαμψης της λειτουργίας των ΤΠΕ αποτελούν αναπόσπαστο μέρος της συνολικής πολιτικής επιχειρησιακής συνέχειας και του σχεδίου αντιμετώπισης και ανάκαμψης της λειτουργίας του ιδρύματος.

Οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον το ίδρυμα έχει θεσπίσει αποτελεσματικό σύστημα διαχείρισης της επιχειρησιακής συνέχειας, με δοκιμασμένα σχέδια επιχειρησιακής συνέχειας, απόκρισης και ανάκαμψης που καλύπτουν τουλάχιστον τις κρίσιμες ή σημαντικές λειτουργίες του, συμπεριλαμβανομένων εκείνων που έχουν ανατεθεί σε τρίτους παρόχους, καθώς και κατά πόσον τα σχέδια αυτά λαμβάνουν υπόψη μια σειρά σοβαρών αλλά εύλογων σεναρίων στα οποία το ίδρυμα ενδέχεται να είναι ευάλωτο. Οι αρμόδιες αρχές πρέπει επίσης να αξιολογούν κατά πόσον η πολιτική επιχειρησιακής συνέχειας του ιδρύματος επιτρέπει τη λήψη κατάλληλων μέτρων απόκρισης και ανάκαμψης σε περίπτωση οποιουδήποτε συμβάντος.

Οι αρμόδιες αρχές πρέπει να εξακριβώνουν αν η διαχείριση της επιχειρησιακής συνέχειας του ιδρύματος περιλαμβάνει:

• α. ανάλυση επιχειρηματικών επιπτώσεων (ΑΕΕ)·
• β. κατάλληλες στρατηγικές ανάκαμψης που ενσωματώνουν τις κύριες εσωτερικές και εξωτερικές εξαρτήσεις, και ορίζουν σαφώς τις προτεραιότητες ανάκαμψης και τα επίπεδα ανθεκτικότητας·
• γ. ολοκληρωμένα και ευέλικτα σχέδια για την αντιμετώπιση εύλογων σεναρίων διαταραχής, τα οποία καθορίζονται βάσει της ΑΕΕ και σε συντονισμό με εσωτερικούς και εξωτερικούς ενδιαφερόμενους φορείς·
• δ. σχέδια που καθορίζουν στρατηγικές έκτακτης ανάγκης καθώς και διαδικασίες απόκρισης και ανάκαμψης·
• ε. αποτελεσματική δοκιμή του σχεδιασμού και της επιχειρησιακής αποτελεσματικότητας των σχεδίων·

στ. επίγνωση της διαχείρισης της επιχειρησιακής συνέχειας και σχετικά προγράμματα κατάρτισης·

• ζ. σχέδια επικοινωνίας για την ενημέρωση της διοίκησης και όλων των σχετικών ενδιαφερόμενων μερών, τεκμηρίωση σχετικά με τη διαχείριση κρίσεων, μέτρα και λειτουργία διαχείρισης κρίσεων, κατά περίπτωση (σύμφωνα με το άρθρο 11 παράγραφος 7 του DORA).

Οι αρμόδιες αρχές πρέπει να αξιολογούν αν τα σχέδια επιχειρησιακής συνέχειας, απόκρισης και ανάκαμψης του ιδρύματος:

• α. καθορίζουν ρόλους και αρμοδιότητες, συμπεριλαμβανομένων σαφών κατευθυντήριων γραμμών σχετικά με την πιθανή διαδοχή, και ορίζουν εσωτερική διαδικασία λήψης αποφάσεων, καθώς και τους παράγοντες που ενεργοποιούν τη διαδικασία αυτή·
• β. επανεξετάζονται προκειμένου να διασφαλίζεται ότι οι στρατηγικές έκτακτης ανάγκης παραμένουν συνεπείς με τις τρέχουσες δραστηριότητες, τους κινδύνους και τις απειλές, τα επίπεδα ανθεκτικότητας, καθώς και τους στόχους και τις προτεραιότητες ανάκαμψης·
• γ. δίνουν προτεραιότητα στα μέτρα διασφάλισης της επιχειρησιακής συνέχειας, χρησιμοποιώντας προσέγγιση με βάση τον κίνδυνο·
• δ. υποβάλλονται σε τακτικούς ελέγχους προκειμένου να διασφαλίζεται η τήρηση των στόχων και των χρονοδιαγραμμάτων ανάκαμψης· και
• ε. περιλαμβάνουν δοκιμές των υπηρεσιών που παρέχονται από τρίτους παρόχους υπηρεσιών, κατά περίπτωση·

Οι αρμόδιες αρχές πρέπει επίσης να αξιολογούν κατά πόσον τα αποτελέσματα των ελέγχων τεκμηριώνονται και κοινοποιούνται στο διοικητικό όργανο.

Αξιολόγηση του πλαισίου διαχείρισης κινδύνων ΤΠΕ

Οι αρμόδιες αρχές πρέπει να αξιολογούν τη συμμόρφωση του ιδρύματος ως προς τον DORA και τις κατευθυντήριες γραμμές της ΕΑΤ για την εσωτερική διακυβέρνηση όσον αφορά την εσωτερική διακυβέρνηση και την οργάνωση της διαχείρισης κινδύνων ΤΠΕ. Οι αρμόδιες αρχές πρέπει να διαμορφώσουν άποψη σχετικά με το κατά πόσον το διοικητικό όργανο του ιδρύματος λογοδοτεί συνολικά για τη διαχείριση κινδύνων ΤΠΕ και καθορίζει, εγκρίνει και επιβλέπει δεόντως την εφαρμογή όλων των ρυθμίσεων που σχετίζονται με τις ΤΠΕ. Οι αρμόδιες αρχές πρέπει να εξετάζουν κατά πόσον τα μέλη του διοικητικού οργάνου διαθέτουν επαρκείς γνώσεις και δεξιότητες για να κατανοούν και να αξιολογούν τους κινδύνους ΤΠΕ και τις επιπτώσεις τους στις δραστηριότητες του ιδρύματος.

Οι αρμόδιες αρχές πρέπει να αξιολογούν τον τρόπο με τον οποίο οι ρόλοι και οι αρμοδιότητες για το σύνολο των λειτουργιών που σχετίζονται με τις ΤΠΕ, καθώς και οι καθιερωμένες ρυθμίσεις διακυβέρνησης, ενσωματώνονται και εντάσσονται στο πλαίσιο εσωτερικού ελέγχου και διακυβέρνησης του ιδρύματος για τη διαχείριση των κινδύνων ΤΠΕ. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να εξετάζουν αν το ίδρυμα έχει πράγματι αναθέσει την ευθύνη για τη διαχείριση και την εποπτεία των κινδύνων ΤΠΕ σε ανεξάρτητη λειτουργία ελέγχου που έχει άμεση πρόσβαση στο διοικητικό όργανο με την εποπτική του αρμοδιότητα και μπορεί να αναφέρεται απευθείας σε αυτό, καθώς και να αξιολογούν το κατά πόσον το ίδρυμα αποδεικνύει ότι διαθέτει:

• α. σαφή επικοινωνία, κατανομή και ενοποίηση ρόλων και αρμοδιοτήτων σε όλες τις λειτουργίες που σχετίζονται με τις ΤΠΕ, συμπεριλαμβανομένων των επιχειρηματικών λειτουργιών και διαδικασιών που υποστηρίζονται από τις ΤΠΕ·
• β. επαρκή και κατάλληλο προϋπολογισμό, ώστε να καλύπτονται οι ανάγκες ψηφιακής επιχειρησιακής ανθεκτικότητας όσον αφορά όλα τα είδη πόρων, μεταξύ των οποίων τα σχετικά προγράμματα ευαισθητοποίησης, η κατάρτιση και η απόκτηση δεξιοτήτων ΤΠΕ για το σύνολο του προσωπικού [σύμφωνα με το άρθρο 5 παράγραφος 2 στοιχείο ζ) του DORA]·
• γ. επαρκή παρακολούθηση και απόκριση από το διοικητικό όργανο σχετικά με τα κρίσιμα ευρήματα ελέγχου ΤΠΕ και ευρήματα που αναφέρονται σύμφωνα με το άρθρο 13 παράγραφος 5 του DORA.

Οι αρμόδιες αρχές πρέπει να κατανοούν πλήρως το πλαίσιο διαχείρισης κινδύνων ΤΠΕ του ιδρύματος και να αξιολογούν κατά πόσον το ίδρυμα εφαρμόζει επαρκείς και κατάλληλες στρατηγικές, πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ΤΠΕ, συμπεριλαμβανομένων επιπέδων ανοχής κινδύνου, για την αποτελεσματική, αποδοτική και ολοκληρωμένη αντιμετώπιση σημαντικών κινδύνων ΤΠΕ σύμφωνα με τον DORA. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να εξετάζουν, κατά περίπτωση:

• α. την καταλληλότητα και την αποτελεσματικότητα των πολιτικών διαχείρισης κινδύνων ΤΠΕ του ιδρύματος³⁶ , των διεργασιών και των διαδικασιών, οι οποίες καλύπτουν, μεταξύ άλλων, τη διαχείριση των ΤΠΕ από τρίτους, τον εντοπισμό και την απόκριση σε συμβάντα που σχετίζονται με τις ΤΠΕ, τη διαχείριση της αξιολόγησης των ΤΠΕ, την κρυπτογράφηση και την κρυπτογραφία, την ασφάλεια λειτουργιών ΤΠΕ, την ασφάλεια δικτύου, τον έλεγχο πρόσβασης, καθώς και το κατά πόσον αυτά έχουν εγκριθεί από το διοικητικό όργανο και έχουν κοινοποιηθεί σε όλους τους σχετικούς εμπλεκόμενους φορείς (σύμφωνα με το άρθρο 14 του DORA)·
• β. την καταλληλότητα του επιπέδου ανοχής κινδύνου του ιδρύματος όσον αφορά τους κινδύνους ΤΠΕ και της ανοχής στις επιπτώσεις για τις διαταραχές των ΤΠΕ (σύμφωνα με το άρθρο 6 παράγραφος 8 στοιχείο β) του DORA)·
• γ. την καταλληλότητα και την εφαρμογή της στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας του ιδρύματος, συμπεριλαμβανομένης της ευθυγράμμισής της με την επιχειρηματική στρατηγική·
• δ. τη συνέπεια της στρατηγικής για τους κινδύνους τρίτων παρόχων ΤΠΕ, συμπεριλαμβανομένης της στρατηγικής πολλαπλών προμηθευτών ΤΠΕ, κατά περίπτωση, με τη συνολική επιχειρηματική στρατηγική και το πλαίσιο διαχείρισης κινδύνων ΤΠΕ·
• ε. τον υπολειπόμενο κίνδυνο από τους κινδύνους που έχει εντοπίσει το ίδρυμα σε σχέση με τις συμβατικές ρυθμίσεις για τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες·

στ. τον υπολειπόμενο κίνδυνο από τους κινδύνους που έχει εντοπίσει το ίδρυμα σε σχέση με έργα ΤΠΕ τα οποία επηρεάζουν κρίσιμες ή σημαντικές λειτουργίες και για τα οποία έχει υποβληθεί αναφορά στο διοικητικό όργανο, καθώς και σε σχέση με την απόκτηση, την ανάπτυξη και τη συντήρηση συστημάτων ΤΠΕ και τις αλλαγές στον τομέα των ΤΠΕ·

• ζ. την αρτιότητα και την πληρότητα του προγράμματος δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας·
• η. την τάση και το μέγεθος μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, καθώς και τα ευρήματα που αναφέρονται στο διοικητικό όργανο σύμφωνα με το άρθρο 17 παράγραφος 3 στοιχείο ε) και το άρθρο 13 παράγραφος 5 του DORA·
• θ. τους ελέγχους κινδύνων ΤΠΕ που αφορούν συγκεκριμένα τον μείζονα κίνδυνο ΤΠΕ που προσδιορίστηκε·
• ι. την έγκαιρη υποβολή αναφορών στο διοικητικό όργανο και τα ανώτερα διοικητικά στελέχη σχετικά με πτυχές της διαχείρισης κινδύνων ΤΠΕ·

ια. την κάλυψη και τα ευρήματα του εσωτερικού ελέγχου.

³⁶ Σύμφωνα με τον DORA, οι πολιτικές αυτές πρέπει να περιλαμβάνουν τουλάχιστον την πολιτική ασφάλειας των πληροφοριών, τις πολιτικές δημιουργίας εφεδρικών συστημάτων, την πολιτική διαχείρισης πόρων ΤΠΕ, την πολιτική κρυπτογράφησης και κρυπτογραφικών ελέγχων, την πολιτική διαχείρισης κρυπτογραφικών κλειδιών, την πολιτική διαχείρισης έργων ΤΠΕ, την πολιτική απόκτησης, ανάπτυξης και συντήρησης συστημάτων ΤΠΕ, την πολιτική ανθρώπινων πόρων, την πολιτική φυσικής και περιβαλλοντικής ασφάλειας, την πολιτική διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ, καθώς και την πολιτική σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες και παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ.

Κατά την αξιολόγηση της διαχείρισης κινδύνων ΤΠΕ, οι αρμόδιες αρχές πρέπει να δίνουν ιδιαίτερη προσοχή στη διαχείριση των κινδύνων τρίτων παρόχων υπηρεσιών ΤΠΕ, συμπεριλαμβανομένου του επιπέδου συγκέντρωσης του ιδρύματος σε τρίτους παρόχους υπηρεσιών ΤΠΕ. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να διασφαλίζουν τη στενή συνεργασία με τους κύριους εποπτικούς φορείς τρίτων παρόχων κρίσιμων υπηρεσιών ΤΠΕ, σύμφωνα με τις κοινές κατευθυντήριες γραμμές των ΕΕΑ³⁷ , σε περίπτωση που το υπό αξιολόγηση ίδρυμα λαμβάνει υπηρεσίες ΤΠΕ από τρίτο πάροχο κρίσιμων υπηρεσιών ΤΠΕ. Οι αρμόδιες αρχές πρέπει επίσης να εξετάζουν την αποτελεσματικότητα του ειδικού ρόλου που έχει θεσπίσει το ίδρυμα, ή του ορισθέντος ανώτερου διοικητικού στελέχους, όσον αφορά την παρακολούθηση των συμφωνιών με τρίτους παρόχους ΤΠΕ.

³⁷ Κοινές κατευθυντήριες γραμμές σχετικά με τη συνεργασία στον τομέα της εποπτείας και την ανταλλαγή πληροφοριών μεταξύ των ΕΕΑ και των αρμόδιων αρχών δυνάμει του κανονισμού (ΕΕ) 2022/2554 (ΕΕ) (JC/2024/36).

Οι αρμόδιες αρχές πρέπει να εξετάζουν κατά πόσον η λειτουργία εσωτερικής επιθεώρησης είναι αποτελεσματική και διαθέτει επαρκείς γνώσεις, δεξιότητες και εμπειρογνωμοσύνη για τον έλεγχο του πλαισίου διαχείρισης κινδύνων ΤΠΕ του ιδρύματος, ελέγχοντας αν:

• α. ο έλεγχος του πλαισίου διαχείρισης κινδύνων ΤΠΕ διενεργείται με την απαιτούμενη ποιότητα, εστίαση και συχνότητα και είναι ανάλογος του προφίλ κινδύνου ΤΠΕ του ιδρύματος·
• β. το σχέδιο ελέγχου περιλαμβάνει ελέγχους σχετικά με τους σημαντικούς κινδύνους ΤΠΕ που έχει εντοπίσει το ίδρυμα, συμπεριλαμβανομένων ανεξάρτητων αξιολογήσεων των σχεδίων απόκρισης και ανάκαμψης της λειτουργίας των ΤΠΕ·
• γ. τα κρίσιμα ευρήματα ελέγχου ΤΠΕ επαληθεύονται εγκαίρως και αποκαθίστανται, μεταξύ άλλων μέσω υποβολής εκθέσεων στο διοικητικό όργανο·
• δ. τα ευρήματα ελέγχου ΤΠΕ, συμπεριλαμβανομένων των δράσεων που έχουν συμφωνηθεί, παρακολουθούνται και οι εκθέσεις προόδου επανεξετάζονται περιοδικά από τα ανώτερα διοικητικά στελέχη και/ή την ελεγκτική επιτροπή. 6.4.4. Αξιολόγηση του κινδύνου φήμης

Οι αρμόδιες αρχές πρέπει να αξιολογούν τον κίνδυνο φήμης στον οποίο εκτίθεται το ίδρυμα αξιοποιώντας τις γνώσεις που αποκομίζονται από τον τίτλο 4 έως τον τίτλο 6.2. Η αξιολόγηση αυτή πρέπει επίσης να επικεντρώνεται στο συνολικό πλαίσιο κινδύνου φήμης, διασφαλίζοντας την ικανότητα του ιδρύματος να διαχειρίζεται αποτελεσματικά τυχόν συμβάντα φήμης. Στο πλαίσιο αυτής της αξιολόγησης, οι αρμόδιες αρχές πρέπει να αποφεύγουν τον διπλό υπολογισμό στοιχείων που έχουν ήδη ληφθεί υπόψη στο πλαίσιο της αξιολόγησης νομικού κινδύνου (ενότητα 6.4.2.1).

Κατά την αξιολόγηση της σημασίας του κινδύνου φήμης, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη το μέγεθος του ιδρύματος, καθώς και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών, των δραστηριοτήτων και των λειτουργιών του (για παράδειγμα, εισηγμένες μετοχές ή χρεόγραφα ή συμμετοχή σε διατραπεζικές αγορές).

Οι αρμόδιες αρχές πρέπει να εξετάζουν τόσο εσωτερικούς όσο και εξωτερικούς παράγοντες ή γεγονότα τα οποία ενδέχεται να προκαλέσουν προβλήματα στη φήμη του ιδρύματος, εξαιρουμένων γεγονότων που οδηγούν σε νομικές διαδικασίες. Κατά την αξιολόγηση ιδρυμάτων κατηγορίας 1 και κατηγορίας 2, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη όλους τους ακόλουθους δείκτες:

• α. αρνητική κάλυψη από τα μέσα ενημέρωσης και τα μέσα κοινωνικής δικτύωσης, καθώς και πρωτοβουλίες ενώσεων καταναλωτών που ενδέχεται να επιδεινώσουν τη δημόσια εικόνα και τη φήμη του ιδρύματος·
• β. τον αριθμό και τις μεταβολές των καταγγελιών των πελατών ή την αιφνίδια απώλεια πελατών ή επενδυτών·
• γ. αρνητικά γεγονότα που αφορούν ομοειδή ιδρύματα και τα οποία το κοινό ενδέχεται να συσχετίσει με τον χρηματοοικονομικό τομέα στο σύνολό του ή με κάποιο όμιλο ιδρυμάτων·
• δ. τη φήμη προσώπων που συμμετέχουν στη διοίκηση του ιδρύματος ή κατέχουν σημαντικές συμμετοχές·
• ε. τη συμμετοχή ή τη λειτουργία σε τομείς ή δικαιοδοσίες που διατρέχουν υψηλό κίνδυνο ΞΧ/ΧΤ ή με φυσικά πρόσωπα που συνδέονται με υψηλό κίνδυνο ΞΧ/ΧΤ·

στ. τη συμμετοχή ή τη λειτουργία σε τομείς ή δικαιοδοσίες ή/και με αντισυμβαλλόμενους που παρουσιάζουν υψηλή έκθεση σε σημαντικά ζητήματα ή δημόσιες αντιπαραθέσεις που σχετίζονται με παράγοντες ΠΚΔ, συμπεριλαμβανομένων, μεταξύ άλλων, περιβαλλοντικών παραγόντων·

• ζ. τις επιπτώσεις συμβάντων που σχετίζονται με τις ΤΠΕ στη φήμη του ιδρύματος, όπως καταγράφονται από το ίδρυμα σύμφωνα με τον κατ’ εξουσιοδότηση κανονισμό (ΕΕ) 2024/1772 της Επιτροπής³⁸ ·
• η. άλλους δείκτες της αγοράς, εφόσον είναι διαθέσιμοι (π.χ. υποβαθμίσεις της πιστοληπτικής ικανότητας ή μεταβολές στην τιμή της μετοχής κατά τη διάρκεια του έτους).

³⁸ Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1772 της Επιτροπής, της 13ης Μαρτίου 2024, για τη συμπλήρωση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα ρυθμιστικά τεχνικά πρότυπα για τον προσδιορισμό των κριτηρίων ταξινόμησης συμβάντων που σχετίζονται με τις ΤΠΕ και

Οι αρμόδιες αρχές πρέπει να αξιολογούν τη σπουδαιότητα του ανοίγματος του ιδρύματος σε κίνδυνο φήμης και τον τρόπο με τον οποίο αυτός συνδέεται με τους λοιπούς κινδύνους, αξιοποιώντας τις σχετικές αξιολογήσεις κινδύνου (μεταξύ άλλων και από άλλες εποπτικές αρχές) για να εντοπίσουν τυχόν δευτερεύουσες επιπτώσεις προς οποιαδήποτε κατεύθυνση.

Στο πλαίσιο της ανάλυσης του λειτουργικού κινδύνου, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη τη συνάφεια και τη σημασία των ανοιγμάτων του ιδρύματος στον κίνδυνο ΞΧ/ΧΤ από άποψη προληπτικής εποπτείας στο πλαίσιο του πεδίου εφαρμογής του λειτουργικού κινδύνου. Στο πλαίσιο αυτό, οι αρμόδιες αρχές πρέπει να χρησιμοποιούν τα σχετικά στοιχεία που λαμβάνουν από τις εποπτικές αρχές ΚΞΧ/ΧΤ για να συμπληρώνουν τα πορίσματά τους από τη συνεχή εποπτεία και να αξιολογούν το αν προκαλούν ανησυχίες προληπτικής εποπτείας σχετικά με τον κίνδυνο ΞΧ/ΧΤ.

Οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη ότι οποιοδήποτε ίδρυμα μπορεί να εκτεθεί σε κίνδυνο ΞΧ/ΧΤ ανεξάρτητα από το μέγεθος ή την οικονομική ευρωστία του ιδρύματος. Ως εκ τούτου, πρέπει επίσης να δοθεί επαρκής προσοχή σε ιδρύματα που θεωρούνται οικονομικά εύρωστα και ενδέχεται να έχουν καλή φήμη, δεδομένου ότι τα εν λόγω ιδρύματα μπορεί να στοχεύουν ειδικά στην ΞΧ/ΧΤ. Πρέπει επίσης να δοθεί προσοχή στα ιδρύματα που έχουν σημειώσει μεγάλη επιτυχία στην προσέλκυση νέων πελατών/στην επέκταση του μεριδίου αγοράς –ιδίως με τη χρήση μη παραδοσιακών διαύλων διανομής– , δεδομένου ότι αυτό θα μπορούσε να σχετίζεται με αδύναμους ελέγχους δέουσας επιμέλειας ως προς τον πελάτη κατά τη φάση προσέλκυσης νέων πελατών.

Οι αρμόδιες αρχές πρέπει να ανταλλάσσουν σχετικές πληροφορίες με τις εποπτικές αρχές ΚΞΧ/ΧΤ σχετικά με ζητήματα λειτουργικού κινδύνου που έχουν εντοπιστεί και τα οποία μπορούν να προκαλέσουν κινδύνους ΞΧ/ΧΤ, κινδύνους μη εφαρμογής και αποφυγής στοχευμένων οικονομικών κυρώσεων και ανησυχίες, όπως ελλείψεις στο σύστημα ΤΠΕ των ιδρυμάτων ή στο πλαίσιο εσωτερικού ελέγχου.

Οι αρμόδιες αρχές πρέπει να αξιολογούν αν το ίδρυμα εφαρμόζει επαρκείς κανόνες, στρατηγικές, διαδικασίες και μηχανισμούς για τη διαχείριση του κινδύνου φήμης. Ειδικότερα, οι αρμόδιες αρχές πρέπει να λαμβάνουν υπόψη αν:

• α. το ίδρυμα διαθέτει τυποποιημένες πολιτικές και διαδικασίες για τον εντοπισμό, τη διαχείριση και την παρακολούθηση αυτού του κινδύνου, συμπεριλαμβανομένου ενός άρτιου κώδικα δεοντολογίας, και κατά πόσον αυτές οι εν λόγω πολιτικές και διαδικασίες είναι ανάλογες του μεγέθους και της σχετικής σημασίας του ιδρύματος για το σύστημα·
• β. το ίδρυμα αντιμετωπίζει τον εν λόγω κίνδυνο με προνοητικό τρόπο, μεταξύ άλλων με τη θέσπιση κατάλληλων μετρήσεων και εργαλείων παρακολούθησης, την κάλυψη πιθανών

κυβερνοαπειλών, τον καθορισμό κατώτατων ορίων σημαντικότητας και τον προσδιορισμό των λεπτομερειών των αναφορών μειζόνων συμβάντων (ΕΕ L, 2024/1772 της 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj). ζητημάτων φήμης στα σχέδια έκτακτης ανάγκης, την υλοποίηση σχετικών προγραμμάτων κατάρτισης και ευαισθητοποίησης, καθώς και την αξιοποίηση των διδαγμάτων που έχουν αντληθεί·

• γ. το ίδρυμα διενεργεί ασκήσεις προσομοίωσης ακραίων καταστάσεων ή αναλύσεις σεναρίων για την αξιολόγηση τυχόν δευτερευουσών επιπτώσεων του κινδύνου φήμης (π.χ. κόστος ρευστότητας και χρηματοδότησης, συναλλαγές τιτλοποίησης, πρόσβαση σε υπηρεσία για τραπεζικές εργασίες μέσω ανταποκριτών)·
• δ. το ίδρυμα λαμβάνει μέτρα για την προστασία της εικόνας του μέσω εργαλείων παρακολούθησης των μέσων ενημέρωσης και των μέσων κοινωνικής δικτύωσης, πρωτοκόλλων για την αντιμετώπιση της παραπληροφόρησης και της αρνητικής δημοσιότητας, καθώς και μέσω άμεσων επικοινωνιακών εκστρατειών·
• ε. το ίδρυμα εξετάζει τον δυνητικό αντίκτυπο της στρατηγικής του και των επιχειρηματικών σχεδίων του, και γενικότερα της συμπεριφοράς του, στη φήμη του.

6.4.5. Επιχειρησιακή ανθεκτικότητα

Οι αρμόδιες αρχές πρέπει να διαμορφώνουν μια ολιστική άποψη σχετικά με την ικανότητα του ιδρύματος να επιτελεί κρίσιμες ή σημαντικές λειτουργίες υπό συνθήκες διαταραχής (επίπεδο επιχειρησιακής ανθεκτικότητας). Την επίτευξη του στόχου αυτού διευκολύνει η αποτελεσματική διαχείριση του λειτουργικού κινδύνου, η οποία συνεκτιμά το μέγεθος, το επιχειρηματικό μοντέλο και το συνολικό προφίλ κινδύνου του ιδρύματος. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να αξιοποιούν τις υφιστάμενες αξιολογήσεις τους σχετικά με τη διαχείριση του λειτουργικού κινδύνου, την επιχειρησιακή συνέχεια, τις ικανότητες διαχείρισης αλλαγών, τις υπηρεσίες τρίτων και τις ΤΠΕ στις οποίες βασίζεται το ίδρυμα, προκειμένου να αξιολογήσουν ολιστικά κατά πόσον τα στοιχεία αυτά, από κοινού, υποστηρίζουν την επιχειρησιακή ανθεκτικότητα του ιδρύματος. Οι αρμόδιες αρχές πρέπει επίσης να εξετάζουν κατά πόσον το ίδρυμα εφαρμόζει το πλαίσιο διαχείρισης κινδύνων, τα σχέδια επιχειρησιακής συνέχειας, τη διαχείριση των ΤΠΕ από τρίτους (η οποία έχει ήδη αξιολογηθεί στο πλαίσιο του DORA και των κατευθυντήριων γραμμών της ΕΑΤ που εκδίδονται σύμφωνα με το άρθρο 74 παράγραφος 3 της οδηγίας 2013/36/ΕΕ σχετικά με τις ρυθμίσεις, τις διαδικασίες και τους μηχανισμούς εσωτερικής διακυβέρνησης), καθώς και τα πλαίσια ανάκαμψης και εξυγίανσης με συνεπή και συντονισμένο τρόπο. Επιπλέον, οι αρμόδιες αρχές θα πρέπει να εξετάζουν κατά πόσον το ίδρυμα έχει χαρτογραφήσει επαρκώς τις εσωτερικές και εξωτερικές διασυνδέσεις και αλληλεξαρτήσεις που απαιτούνται για την επιτέλεση κρίσιμων ή σημαντικών λειτουργιών του.

Οι αρμόδιες αρχές πρέπει εξετάζουν κατά πόσον το διοικητικό όργανο και τα ανώτερα διοικητικά στελέχη παραδέχονται την πιθανότητα να προκύψουν αστοχίες και μεριμνούν δεόντως για την ανάπτυξη της ικανότητας απόκρισης του ιδρύματος σε διαταραχές και ανάκαμψης από αυτές. Για τον σκοπό αυτό, οι αρμόδιες αρχές πρέπει να εξετάζουν εάν:

• α. το διοικητικό όργανο αναλαμβάνει ενεργό ρόλο στην επίτευξη ευρείας κατανόησης της προσέγγισης επιχειρησιακής ανθεκτικότητας σε ολόκληρο το ίδρυμα και στην παρακολούθηση της αποτελεσματικότητας της προσέγγισης επιχειρησιακής ανθεκτικότητας του ιδρύματος·
• β. υποβάλλονται εγκαίρως αναφορές σχετικά με την τρέχουσα επιχειρησιακή ανθεκτικότητα του ιδρύματος προς υποστήριξη της εποπτείας που ασκεί το διοικητικό όργανο, ιδίως όταν έχουν εντοπιστεί σημαντικές ελλείψεις που ενδέχεται να επηρεάσουν την επιτέλεση κρίσιμων ή σημαντικών λειτουργιών του ιδρύματος.

6.4.6. Σύνοψη των ευρημάτων, βαθμολόγηση και εποπτικά μέτρα

Κατόπιν της ανωτέρω αξιολόγησης, οι αρμόδιες αρχές πρέπει να διαμορφώνουν άποψη σχετικά με τον λειτουργικό κίνδυνο του ιδρύματος. Η εν λόγω άποψη πρέπει να αποτυπώνεται σε μια σύνοψη ευρημάτων, συνοδευόμενη από μια βαθμολογία κινδύνου με βάση τις παραμέτρους που καθορίζονται στον πίνακα 10. Όταν, βάσει της σημαντικότητας ορισμένων υποκατηγοριών κινδύνου, η αρμόδια αρχή αποφασίσει να τις αξιολογήσει και να τις βαθμολογήσει μεμονωμένα, πρέπει να εφαρμόζονται κατ᾽ αναλογία οι οδηγίες που παρέχονται στον παρόντα πίνακα, στο μέτρο του δυνατού.

Πίνακας 10. Εποπτικές παράμετροι για την απόδοση βαθμολογίας λειτουργικού κινδύνου Βαθμο λογία Εποπτική Παράμετροι σε σχέση με τον Παράμετροι για την επάρκεια της κινδύν άποψη εγγενή κίνδυνο διαχείρισης και ελέγχου κινδύνου ου

Βαθμο λογία Εποπτική Παράμετροι σε σχέση με τον Παράμετροι για την επάρκεια της κινδύν άποψη εγγενή κίνδυνο διαχείρισης και ελέγχου κινδύνου ου

Βαθμο λογία Εποπτική Παράμετροι σε σχέση με τον Παράμετροι για την επάρκεια της κινδύν άποψη εγγενή κίνδυνο διαχείρισης και ελέγχου κινδύνου ου

Βαθμο λογία Εποπτική Παράμετροι σε σχέση με τον Παράμετροι για την επάρκεια της κινδύν άποψη εγγενή κίνδυνο διαχείρισης και ελέγχου κινδύνου ου

Ο παρακάτω πίνακας παρουσιάζει έναν μη εξαντλητικό κατάλογο εποπτικών μέτρων που μπορούν να λάβουν οι αρμόδιες αρχές σε περίπτωση που διαπιστωθούν ελλείψεις στο πλαίσιο διαχείρισης λειτουργικού κινδύνου και στην επιχειρησιακή ανθεκτικότητα του ιδρύματος (λαμβάνοντας υπόψη τη στενή αλληλεξάρτηση μεταξύ της επιχειρησιακής ανθεκτικότητας και διαχείρισης λειτουργικού κινδύνου). Οι αρμόδιες αρχές πρέπει να αποφασίζουν σχετικά με το είδος του μέτρου με βάση την αποτελεσματικότητά του σε σχέση με τη συγκεκριμένη διαπιστωθείσα έλλειψη. Οι αρμόδιες αρχές μπορούν να εφαρμόσουν πρόσθετα εποπτικά μέτρα (συμπεριλαμβανομένων ποσοτικών μέτρων σύμφωνα με το άρθρο 104 παράγραφος 1 στοιχείο α) της οδηγίας 2013/36/ΕΕ) ή συνδυασμό αυτών με τα μέτρα που αναφέρονται στον παρακάτω πίνακα, εφόσον αυτά κριθούν καταλληλότερα για την αντιμετώπιση των διαπιστωθεισών ελλείψεων. Σε περίπτωση που διαπιστωθούν παραβιάσεις του DORA, οι αρμόδιες αρχές πρέπει να εξετάσουν τα εφαρμοστέα διορθωτικά μέτρα που προβλέπονται στο άρθρο 50 του DORA. Πίνακας 11. Δυνητικός και μη εξαντλητικός κατάλογος εποπτικών μέτρων που προκύπτουν από την αξιολόγηση του λειτουργικού κινδύνου και της επιχειρησιακής ανθεκτικότητας Πιθανά εποπτικά μέτρα που μπορούν να λάβουν οι αρμόδιες αρχές σύμφωνα με το άρθρο 104 παράγραφος 1, στοιχεία β), δ), ε), στ), ι), ιβ), ιγ) και ιδ) της οδηγίας 2013/36/ΕΕ και το άρθρο 50 του κανονισμού (ΕΕ) 2022/2554 – Οι αρμόδιες αρχές μπορούν να απαιτήσουν από το ίδρυμα: Α. να εμπλέξει το διοικητικό όργανο ή τις επιτροπές του πιο ενεργά στις σχετικές αποφάσεις διαχείρισης λειτουργικού κινδύνου· Β. να βελτιώσει τα συστήματα μέτρησης λειτουργικού κινδύνου· Γ. να ενισχύσει τους ελέγχους σχετικά με τις επιχειρησιακές διαδικασίες, μεταξύ άλλων του προσδιορισμού, της παρακολούθησης, της απόκρισης και της ανάκαμψης· Δ. να βελτιώσει το πλαίσιο επιχειρησιακής διακυβέρνησης· Ε. να βελτιώσει την υποβολή εκθέσεων σχετικά με τον επιχειρησιακό κίνδυνο προς το διοικητικό όργανο και τα ανώτερα διοικητικά στελέχη· ΣΤ. να καταρτίζει και να εφαρμόζει σχέδια διορθωτικών μέτρων για την αντιμετώπιση των ελλείψεων· Ζ. να περιορίζει ορισμένες ρυθμίσεις με τρίτους, ιδίως για κρίσιμες ή σημαντικές λειτουργίες· Η. να ενισχύσει τις ασκήσεις προσομοίωσης ακραίων καταστάσεων και την ανάλυση σεναρίων λειτουργικού κινδύνου· Θ. να εφαρμόσει αυστηρότερα επιχειρησιακά μέτρα· Ι. να ενισχύσει τα σχέδια επιχειρησιακής συνέχειας, απόκρισης και ανάκαμψης· ΙΑ. να ενισχύσει τη διαχείριση λειτουργικού κινδύνου που σχετίζεται με τους κινδύνους ΠΚΔ, ιδίως τους περιβαλλοντικούς κινδύνους, ενδεχομένως με βάση ένα ή περισσότερα από τα μέτρα που αναφέρονται ανωτέρω.