3.1 Γενικά ζητήματα

Οι αρμόδιες αρχές θα πρέπει να αξιολογήσουν εάν το ίδρυμα έχει εντοπίσει, αξιολογήσει και μετριάσει καταλλήλως τους κινδύνους ΤΠΕ που αντιμετωπίζει. Η διαδικασία αυτή θα πρέπει να αποτελεί μέρος του πλαισίου διαχείρισης επιχειρησιακών κινδύνων και να είναι σύμφωνη με την προσέγγιση που εφαρμόζεται για τον επιχειρησιακό κίνδυνο.

Οι αρμόδιες αρχές θα πρέπει να εντοπίσουν πρώτα τους ουσιώδεις εγγενείς κινδύνους ΤΠΕ στους οποίους εκτίθεται ή ενδέχεται να εκτεθεί το ίδρυμα και, κατόπιν, να αξιολογήσουν την αποτελεσματικότητα του πλαισίου διαχείρισης κινδύνων ΤΠΕ του ιδρύματος, καθώς και των διαδικασιών και των ελέγχων για τον μετριασμό αυτών των κινδύνων. Το αποτέλεσμα της αξιολόγησης θα πρέπει να αποτυπώνεται σε μια σύνοψη διαπιστώσεων η οποία χρησιμοποιείται για τη βαθμολόγηση του επιχειρησιακού κινδύνου που προβλέπεται στις κατευθυντήριες γραμμές ΔΕΕΑ. Στην περίπτωση που ο κίνδυνος ΤΠΕ θεωρείται ουσιώδης και οι αρμόδιες αρχές θέλουν να τον βαθμολογήσουν μεμονωμένα, θα πρέπει να χρησιμοποιούν τον πίνακα 1 για τη βαθμολόγησή του ως επιμέρους στοιχείο κινδύνου του επιχειρησιακού κινδύνου.

Κατά τη διεξαγωγή της αξιολόγησης σύμφωνα με τον παρόντα τίτλο, οι αρμόδιες αρχές θα πρέπει να χρησιμοποιούν όλες τις διαθέσιμες πηγές πληροφοριών που ορίζονται στην παράγραφο 127 του τίτλου 6 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ, π.χ. δραστηριότητες διαχείρισης κινδύνων του ιδρύματος, υποβολή αναφορών και αποτελέσματα, ως βάση για τον προσδιορισμό των προτεραιοτήτων που θέτουν για την εποπτική αξιολόγηση. Οι αρμόδιες αρχές θα πρέπει να χρησιμοποιούν επίσης άλλες πηγές πληροφοριών για τη διεξαγωγή αυτής της αξιολόγησης, συμπεριλαμβανομένων των ακόλουθων, εφόσον ενδείκνυται:

• α. αυτοαξιολογήσεων κινδύνων ΤΠΕ και ελέγχων [εάν παρέχονται στις πληροφορίες εσωτερικής διαδικασίας αξιολόγησης της κεφαλαιακής επάρκειας (ICAAP)]·
• β. πληροφοριών διαχείρισης σχετικά με τους κινδύνους ΤΠΕ οι οποίες έχουν υποβληθεί στο διοικητικό όργανο του ιδρύματος, π.χ. υποβολή περιοδικών αναφορών κινδύνων ΤΠΕ και αναφορών κινδύνων βάσει συγκεκριμένων συμβάντων (μεταξύ άλλων στην βάση δεδομένων επιχειρησιακών ζημιών), δεδομένα έκθεσης σε κινδύνους ΤΠΕ από το τμήμα διαχείρισης κινδύνων του ιδρύματος·
• γ. διαπιστώσεων εσωτερικών και εξωτερικών ελέγχων σχετικά με ΤΠΕ οι οποίες έχουν υποβληθεί στην ελεγκτική επιτροπή του ιδρύματος.