2.4 Riesgo de TIC en el marco de gestión de riesgos de la entidad

A la hora de evaluar la gestión de riesgos y los controles internos globales de la entidad, tal como se establece en el título 5 de las Directrices de la ABE sobre el PRES, las autoridades competentes considerarán si el marco de gestión de riesgos y de control interno de la entidad contempla adecuadamente sus sistemas de TIC de una manera proporcional al tamaño y las actividades de la entidad y a su perfil de riesgo de TIC tal como se define en el título 3. En particular, las autoridades competentes determinarán si:

• a. El apetito de riesgo y el ICAAP cubren los riesgos de TIC, como parte de la categoría más amplia de riesgo operacional, para definir la estrategia general de riesgo y determinar el capital interno; y
• b. los riesgos de TIC están dentro del ámbito de los marcos globales de gestión de riesgos y de control interno de la entidad.

Las autoridades competentes llevarán a cabo la evaluación mencionada en la letra a) anterior teniendo en cuenta tanto escenarios esperados como adversos, por ejemplo, los escenarios incluidos en las pruebas de resistencia supervisoras o en las llevadas a cabo específicamente para la entidad.

En lo que respecta en concreto a la letra b), las autoridades competentes evaluarán si las funciones independientes de control y de auditoría interna, descritas en los apartados 104 (a), 104 (d), 105 (a) y 105 (c) de las Directrices de la ABE sobre el PRES, son adecuadas para garantizar un nivel suficiente de independencia entre las funciones de TIC y las de control y auditoría, habida cuenta del tamaño y el perfil de riesgo de TIC de la entidad.