Τίτλος 1 - Γενικές διατάξεις

Οι αρμόδιες αρχές θα πρέπει να διενεργήσουν την αξιολόγηση του κινδύνου ΤΠΕ, της ρύθμισης διακυβέρνησης και της στρατηγικής ΤΠΕ στο πλαίσιο της διαδικασίας εποπτικού ελέγχου και αξιολόγησης (ΔΕΕΑ) σύμφωνα με το μοντέλο ελάχιστης συνεργασίας και τα κριτήρια αναλογικότητας που προσδιορίζονται στον τίτλο 2 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ. Ειδικότερα, αυτό σημαίνει ότι:

• α. η συχνότητα της αξιολόγησης κινδύνου ΤΠΕ θα εξαρτάται από το μοντέλο ελάχιστης συνεργασίας βάσει της κατηγορίας ΔΕΕΑ στην οποία κατατάσσεται ένα ίδρυμα και του συγκεκριμένου προγράμματος εποπτικού ελέγχου που εφαρμόζει· και
• β. το βάθος, η λεπτομέρεια και η ένταση της αξιολόγησης των ΤΠΕ θα πρέπει να είναι ανάλογα του μεγέθους, της δομής και του επιχειρησιακού περιβάλλοντος του ιδρύματος, καθώς και της φύσης, της κλίμακας και της πολυπλοκότητας των δραστηριοτήτων του.

Η αρχή της αναλογικότητας εφαρμόζεται σε όλα τα σημεία των κατευθυντήριων γραμμών όσον αφορά το πεδίο εφαρμογής, τη συχνότητα και την ένταση της εποπτικής συνεργασίας και του διαλόγου με ένα ίδρυμα και τις εποπτικές προσδοκίες για τα πρότυπα που θα πρέπει να πληροί το ίδρυμα.

Οι αρμόδιες αρχές δύνανται να βασίζονται και να λαμβάνουν υπόψη το έργο που έχει επιτελέσει ήδη το ίδρυμα ή η αρμόδια αρχή στο πλαίσιο των αξιολογήσεων άλλων κινδύνων ή στοιχείων της ΔΕΕΑ για την επικαιροποίηση της αξιολόγησης. Πιο συγκεκριμένα, κατά τη διεξαγωγή των αξιολογήσεων που προσδιορίζονται στις παρούσες κατευθυντήριες γραμμές, οι αρμόδιες αρχές θα πρέπει να επιλέγουν την καταλληλότερη προσέγγιση και μεθοδολογία εποπτικής αξιολόγησης, η οποία ταιριάζει καλύτερα και είναι ανάλογη του ιδρύματος, και θα πρέπει να λαμβάνουν υπόψη τους στην αξιολόγηση που διενεργούν τα υπάρχοντα και διαθέσιμα έγγραφα τεκμηρίωσης [π.χ. σχετικές αναφορές και άλλα έγγραφα, συναντήσεις με στελέχη διαχείρισης (κινδύνου), διαπιστώσεις επιτόπιων ελέγχων] για την επικαιροποίηση της αξιολόγησης των αρμόδιων αρχών.

Οι αρμόδιες αρχές θα πρέπει να συνοψίζουν τις διαπιστώσεις των αξιολογήσεων που διενεργούν με βάση τα κριτήρια που προσδιορίζονται στις παρούσες κατευθυντήριες γραμμές και να τις χρησιμοποιούν για να αντλούν συμπεράσματα σχετικά με την αξιολόγηση των στοιχείων της ΔΕΕΑ που προσδιορίζονται στις κατευθυντήριες γραμμές ΔΕΕΑ της ΕΑΤ.

Ειδικότερα, η αξιολόγηση της διακυβέρνησης και της στρατηγικής ΤΠΕ που διεξάγεται σύμφωνα με τον τίτλο 2 των κατευθυντήριων γραμμών θα πρέπει να καταλήγει σε διαπιστώσεις οι οποίες λαμβάνονται υπόψη στη σύνοψη διαπιστώσεων της αξιολόγησης του στοιχείου της ΔΕΕΑ που αφορά την εσωτερική διακυβέρνηση και τους ελέγχους σε επίπεδο ιδρύματος, όπως προσδιορίζεται στον τίτλο 5 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ. Επίσης η συγκεκριμένη αξιολόγηση πρέπει να αποτυπώνεται στην αντίστοιχη βαθμολόγηση του εν λόγω στοιχείου της ΔΕΕΑ. Επιπροσθέτως, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ότι οποιαδήποτε σημαντική δυσμενής επίπτωση της αξιολόγησης της στρατηγικής ΤΠΕ στην επιχειρηματική στρατηγική του ιδρύματος ή οποιοσδήποτε προβληματισμός ότι το ίδρυμα μπορεί να μην διαθέτει επαρκείς πόρους ΤΠΕ και ικανότητες ΤΠΕ για την εκτέλεση και την υποστήριξη σημαντικών σχεδιαζόμενων στρατηγικών αλλαγών θα πρέπει να συμπεριλαμβάνεται στην ανάλυση επιχειρηματικού μοντέλου η οποία διενεργείται σύμφωνα με τον τίτλο 4 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ.

Το αποτέλεσμα της αξιολόγησης του κινδύνου ΤΠΕ, όπως προσδιορίζεται στον τίτλο 3 των κατευθυντήριων γραμμών, θα πρέπει να λαμβάνεται υπόψη στις διαπιστώσεις της αξιολόγησης επιχειρησιακού κινδύνου και να θεωρείται παράγοντας που επηρεάζει τη σχετική βαθμολογία που προσδιορίζεται στον τίτλο 6.4 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ.

Επισημαίνεται ότι, παρόλο που, γενικά, οι αρμόδιες αρχές θα πρέπει να αξιολογούν υποκατηγορίες κινδύνων στο πλαίσιο των γενικών κατηγοριών (δηλαδή, ο κίνδυνος ΤΠΕ θα αξιολογείται στο πλαίσιο του επιχειρησιακού κινδύνου), στην περίπτωση που οι αρμόδιες αρχές θεωρούν ορισμένες υποκατηγορίες ουσιώδεις, δύναται να αξιολογούν τις εν λόγω υποκατηγορίες μεμονωμένα. Για τον σκοπό αυτό, εάν η αρμόδια αρχή αποφασίσει ότι ο κίνδυνος ΤΠΕ είναι ουσιώδης, οι παρούσες κατευθυντήριες γραμμές παρέχουν επίσης έναν πίνακα βαθμολόγησης (πίνακας 1) ο οποίος θα πρέπει να χρησιμοποιείται για την απόδοση ανεξάρτητης βαθμολογίας υποκατηγορίας για τον κίνδυνο ΤΠΕ σύμφωνα με τη συνολική προσέγγιση για τη βαθμολόγηση των κινδύνων για το κεφάλαιο που ορίζεται στις κατευθυντήριες γραμμές ΔΕΕΑ της ΕΑΤ.

Για να καθοριστεί εάν ο κίνδυνος ΤΠΕ θα πρέπει να θεωρείται ουσιώδης και, επομένως, εάν ο κίνδυνος ΤΠΕ θα πρέπει να αξιολογηθεί και να βαθμολογηθεί ως επιμέρους υποκατηγορία επιχειρησιακού κινδύνου, οι αρμόδιες αρχές δύνανται να χρησιμοποιούν τα κριτήρια που προσδιορίζονται στο τμήμα 6.1 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ.

Κατά την εφαρμογή αυτών των κατευθυντήριων γραμμών, οι αρμόδιες αρχές θα πρέπει, εφόσον ενδείκνυται, να λαμβάνουν υπόψη τον μη εξαντλητικό κατάλογο υποκατηγοριών κινδύνου και σεναρίων κινδύνου ΤΠΕ που ορίζονται στο παράρτημα, επισημαίνοντας ότι το παράρτημα εστιάζεται σε κινδύνους ΤΠΕ που μπορεί να προκαλέσουν πολύ σοβαρές ζημίες. Οι αρμόδιες αρχές δύνανται να εξαιρέσουν ορισμένους από τους κινδύνους ΤΠΕ που περιλαμβάνονται στην ταξινόμηση, εάν δεν έχουν σημασία για την αξιολόγηση. Τα ιδρύματα αναμένεται να διατηρούν τις δικές τους ταξινομήσεις κινδύνων αντί να χρησιμοποιούν την ταξινόμηση κινδύνων ΤΠΕ που ορίζεται στο παράρτημα.

Όταν οι παρούσες κατευθυντήριες γραμμές εφαρμόζονται σε διασυνοριακούς τραπεζικούς ομίλους και τις οντότητές τους, και έχει συσταθεί σώμα εποπτών, οι εμπλεκόμενες αρμόδιες αρχές θα πρέπει, στο πλαίσιο της συνεργασίας τους για την αξιολόγηση ΔΕΕΑ σύμφωνα με την ενότητα 11.1 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ, να συντονίζουν στον μέγιστο δυνατό βαθμό το ακριβές και λεπτομερές πεδίο εφαρμογής κάθε πληροφορίας με συνέπεια για όλες τις οντότητες του ομίλου.