+Anexo III – Subcategorías de riesgo operacional
---+categories (level 1) categories (level 2)
---+categories (level 1) categories (level 2)
|
Anexo III – Subcategorías de riesgo operacional
El cuadro que figura a continuación presenta una lista no exhaustiva de subcategorías de riesgo operacional que las autoridades competentes tendrán en cuenta cuando proceda. | Subcategorías de riesgo Referencias jurídicas/Definiciones operacional (nivel 1) | Subcategorías de riesgo operacional (nivel 2) | Referencias jurídicas/Definiciones |
Riesgo jurídico Artículo 4, apartado 1, punto 52 bis, del RRC Artículo 4, apartado 1, punto 52 ter, del Riesgo de modelo RRC. | Riesgo de TIC Artículo RRC. 4, apartado 1, punto 52 quater, del | Riesgo de disponibilidad y de continuidad de TIC Riesgo de seguridad de las TIC (incluido el ciberriesgo) Riesgo de cambio de las TIC Riesgo de integridad de datos TIC Subcategorías de | El riesgo de que el rendimiento y la disponibilidad de los sistemas, datos o servicios de TIC se vean afectados negativamente, incluida la incapacidad de recuperar oportunamente los servicios de la entidad, debido a un fallo de los componentes de hardware o software de las TIC; debilidades en la gestión de sistemas de TIC; o cualquier otra circunstancia El riesgo de que el acceso no autorizado o los actos maliciosos o intencionados comprometan los sistemas, datos o servicios de TIC, la entidad independientemente (por ejemplo, ciberataques) de que procedan de dentro o fuera de El riesgo derivado de la incapacidad de la entidad para gestionar los cambios en los sistemas o servicios de TIC de manera oportuna y controlada El riesgo de que los datos almacenados y tratados por los sistemas de TIC sean incompletos, inexactos o incoherentes entre los distintos sistemas de TIC, lo que podría menoscabar la solidez o la continuidad de los servicios y actividades de la entidad y tener un impacto operacional, financiero, jurídico o en la reputación. | | Subcategorías de riesgo Referencias jurídicas/Definiciones operacional (nivel 1) | riesgo operacional (nivel 2) Riesgo de TIC derivado de terceros | Referencias jurídicas/Definiciones El riesgo que puede surgir para una entidad en relación con su uso de servicios de TIC prestados por proveedores terceros de servicios de TIC o por subcontratistas de estos, en particular a través de acuerdos de externalización (artículo 3, apartado 18, del Reglamento DORA), incluido el riesgo de concentración de TIC (artículo 3, punto 29, del Reglamento DORA), en proveedores terceros de servicios de TIC tanto esenciales como no esenciales. |
El riesgo que puede surgir para una entidad financiera en relación con el uso de una función proporcionada por proveedores Riesgo de terceros terceros de servicios o por subcontratistas (no relacionado con las de estos, incluida la prestación de una TIC) función o el apoyo a una función, incluso a través de acuerdos de externalización (Directrices de la ABE sobre la gestión adecuada del riesgo de terceros) Riesgo de crédito (eventos de riesgo operacional relacionados con el riesgo de crédito Artículo 317, apartado 5 , del RRC no contabilizados en la exposición ponderada por riesgo de crédito) | Subcategorías de riesgo Referencias jurídicas/Definiciones operacional (nivel 1) | Subcategorías de riesgo operacional (nivel 2) | Referencias jurídicas/Definiciones |
Riesgo de mercado (eventos de riesgo operacional relacionados Artículo 317, apartado 6, del RRC con el riesgo de mercado)
1. Resumen
| Título |
Regulación |
|
categories (level 1) categories (level 2)
|
Legal risk Article 4(1), point (52a) of the CRR Model risk Article 4(1), point (52b) of the CRR | ICT risk Article 4(1), point (52c) of the CRR | ICT availability and continuity risk ICT security risk (including cyber) ICT change risk ICT data integrity risk | The risk that performance and availability of ICT systems, data or services are adversely impacted, including the inability to timely recover the institution’s services, due to a failure of ICT hardware or software components; weaknesses in ICT system management; or any other event The risk that unauthorised access or malicious or intentional acts compromise ICT systems, data or services irrespective of whether they originate from within or outside the institution (e.g. cyber-attacks) The risk arising from the inability of the institution to manage changes to ICT systems or ICT services in a timely and controlled manner The risk that data stored and processed by ICT systems are incomplete, inaccurate or inconsistent across different ICT systems impairing the soundness or continuity of the institution’s services and activities and potentially resulting in operational, financial, legal, or reputational impact | | Operational risk sub-Legal references/Definitions | Operational risk sub- | Legal references/Definitions |
|
|
categories (level 1) categories (level 2)
|
| ICT third-party risk | the risk that may arise for an institution in relation to its use of ICT services provided by ICT third-party service providers or by subcontractors of the latter, including through outsourcing arrangements (Article 3 (18) of DORA), including ICT concentration risk (Article 3 (29) of DORA) on both critical and non-critical ICT third-party services providers |
The risk that may arise for a financial entity in relation to the use of function provided by third-party service providers or by Third-party risk subcontractors of the latter, including the (non-ICT) provision of a function or the support to a function, including through outsourcing arrangements (upcoming EBA Guidelines on sound management of third-party risk) Credit risk (operational risk events related to credit risk not accounted Article 317 (5) of the CRR for in the risk-weighted exposure for credit risk) Market risk (operational risk events related to Article 317 (6) of the CRR market risk)
|
,
1.1 Referencias
1.2 Requisitos identificados
1.3 Estándares relacionados
2. Requisitos identificados
Requisitos
| Fuente |
Requisito |
3. Estándares relacionados
Estándares
| Fuente |
Requisito |
- EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.
DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.
|