60. Οι αρμόδιες αρχές θα πρέπει να αξιολογούν ιδίως εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο …

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν ιδίως εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση και τη μέτρηση του κινδύνου εξωτερικής ανάθεσης ΤΠΕ και, ιδίως, ελέγχους και ένα περιβάλλον ελέγχου για τον μετριασμό των κινδύνων που αφορούν σημαντικές υπηρεσίες ΤΠΕ που ανατίθενται εξωτερικά, το οποίο να είναι ανάλογο του μεγέθους, των δραστηριοτήτων και του προφίλ κινδύνου ΤΠΕ του ιδρύματος και να περιλαμβάνει:

• α. αξιολόγηση του αντίκτυπου της εξωτερικής ανάθεσης ΤΠΕ στη διαχείριση κινδύνων του ιδρύματος όσον αφορά τη χρήση παρόχων υπηρεσιών (π.χ. παρόχων υπηρεσιών υπολογιστικού νέφους) και τις υπηρεσίες τους κατά τη διαδικασία προμήθειας, η οποία είναι τεκμηριωμένη και λαμβάνεται υπόψη από τα ανώτατα διοικητικά στελέχη ή το διοικητικό όργανο για τη λήψη ή όχι της απόφασης εξωτερικής ανάθεσης των υπηρεσιών. Το ίδρυμα θα πρέπει να εξετάζει τις πολιτικές διαχείρισης κινδύνων ΤΠΕ, τους ελέγχους ΤΠΕ και το περιβάλλον ελέγχου του παρόχου υπηρεσιών ώστε να εξασφαλίζει ότι επιτυγχάνουν τους στόχους εσωτερικής διαχείρισης κινδύνων του ιδρύματος και τη διάθεσή του για ανάληψη κινδύνων. Η εν λόγω εξέταση θα πρέπει να επικαιροποιείται περιοδικά κατά τη διάρκεια της συμβατικής περιόδου εξωτερικής ανάθεσης, λαμβάνοντας υπόψη τα χαρακτηριστικά των υπηρεσιών που έχουν ανατεθεί εξωτερικά·
• β. παρακολούθηση των κινδύνων ΤΠΕ των υπηρεσιών που έχουν ανατεθεί εξωτερικά κατά τη διάρκεια της συμβατικής περιόδου εξωτερικής ανάθεσης στο πλαίσιο της διαχείρισης κινδύνων του ιδρύματος, η οποία χρησιμοποιείται στην υποβολή στοιχείων για τη διαχείριση κινδύνων ΤΠΕ του ιδρύματος (π.χ. υποβολή στοιχείων συνέχειας των δραστηριοτήτων, υποβολή στοιχείων ασφάλειας)·
• γ. παρακολούθηση και σύγκριση των επιπέδων των υπηρεσιών που παρασχέθηκαν με τα επίπεδα των υπηρεσιών που είχαν συμφωνηθεί συμβατικά, στο πλαίσιο της σύμβασης εξωτερικής ανάθεσης ή της συμφωνίας επιπέδου εξυπηρέτησης (SLA)· και
• δ. επαρκές προσωπικό, επαρκείς πόρους και αρμοδιότητες για την παρακολούθηση και τη διαχείριση των κινδύνων ΤΠΕ από τις υπηρεσίες που έχουν ανατεθεί εξωτερικά.

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/