2.1 Γενικές αρχές

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το γενικό πλαίσιο διακυβέρνησης και εσωτερικού ελέγχου του ιδρύματος καλύπτει δεόντως τα συστήματα ΤΠΕ και τους σχετικούς κινδύνους και εάν το διοικητικό όργανο αντιμετωπίζει και διαχειρίζεται επαρκώς αυτά τα ζητήματα, καθώς οι ΤΠΕ είναι αναπόσπαστο μέρος της ορθής λειτουργίας ενός ιδρύματος.

Κατά τη διεξαγωγή αυτής της αξιολόγησης, οι αρμόδιες αρχές θα πρέπει να αναφέρονται στις απαιτήσεις και τα πρότυπα ορθής εσωτερικής διακυβέρνησης και στις ρυθμίσεις ελέγχου των κινδύνων που προσδιορίζονται στις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την εσωτερική διακυβέρνηση (GL 44)⁴ και στα διεθνή έγγραφα καθοδήγησης στον συγκεκριμένο τομέα, στον βαθμό που οι εν λόγω πηγές αναφοράς ισχύουν για τα ιδιαίτερα αυτά συστήματα και κινδύνους ΤΠΕ.

⁴ Κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την εσωτερική διακυβέρνηση, GL 44, 27 Σεπτεμβρίου 2011.

Η αξιολόγηση με βάση τον παρόντα τίτλο δεν καλύπτει τα ειδικά στοιχεία της διακυβέρνησης, της διαχείρισης κινδύνων και των ελέγχων του συστήματος ΤΠΕ τα οποία εστιάζονται στη διαχείριση των ειδικών κινδύνων ΤΠΕ που αναφέρονται στον τίτλο 3 αυτών των κατευθυντήριων γραμμών, αλλά επικεντρώνεται στους παρακάτω τομείς:

• α. στρατηγική ΤΠΕ – εάν το ίδρυμα διαθέτει στρατηγική ΤΠΕ την οποία διαχειρίζεται κατάλληλα και η οποία είναι σύμφωνη με την επιχειρηματική στρατηγική του ιδρύματος·
• β. συνολική εσωτερική διακυβέρνηση – εάν οι ρυθμίσεις συνολικής εσωτερικής διακυβέρνησης του ιδρύματος είναι επαρκείς σε σχέση με τα συστήματα ΤΠΕ του ιδρύματος· και
• γ. κίνδυνος ΤΠΕ στο πλαίσιο διαχείρισης κινδύνων του ιδρύματος – εάν το πλαίσιο διαχείρισης κινδύνων και εσωτερικού ελέγχου του ιδρύματος διασφαλίζει επαρκώς τα συστήματα ΤΠΕ του ιδρύματος.

Παρόλο που το στοιχείο α) του σημείου 22 παρέχει πληροφορίες για στοιχεία της διακυβέρνησης του ιδρύματος, θα πρέπει να χρησιμοποιείται κυρίως για την αξιολόγηση του επιχειρηματικού μοντέλου που αναφέρεται στον τίτλο 4 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ. Τα στοιχεία β) και γ) συμπληρώνουν περαιτέρω αξιολογήσεις θεμάτων που καλύπτονται από τον τίτλο 5 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ και η αξιολόγηση που περιγράφεται στις παρούσες κατευθυντήριες γραμμές θα πρέπει να χρησιμοποιείται για την αντίστοιχη αξιολόγηση δυνάμει του τίτλου 5 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ.

Το αποτέλεσμα της εν λόγω αξιολόγησης θα πρέπει να λαμβάνεται υπόψη, εφόσον ενδείκνυται, στην αξιολόγηση της διαχείρισης κινδύνων και των ελέγχων που αναφέρεται στον τίτλο 3 των κατευθυντήριων γραμμών.