Título 1 - Disposiciones generales

Las autoridades competentes realizarán la evaluación del riesgo de TIC y de los procedimientos de gobierno y la estrategia de TIC como parte del PRES, siguiendo el enfoque de dedicación mínima y los criterios de proporcionalidad especificados en el título 2 de las Directrices de la ABE sobre el PRES. En particular, esto significa que:

• a. la frecuencia de la evaluación del riesgo de TIC dependerá, siguiendo el enfoque de dedicación mínima, de la clase a la que esté asignada una entidad a efectos del PRES y de su programa de examen supervisor específico; y
• b. la profundidad, el detalle y la intensidad de la evaluación de las TIC serán proporcionales al tamaño, la estructura y el entorno operativo de la entidad, así como a la naturaleza, la escala y la complejidad de sus actividades.

En las presentes Directrices se aplica el principio de proporcionalidad al alcance, la frecuencia y la intensidad de la dedicación supervisora y del diálogo con la entidad y a las expectativas supervisoras de los criterios que debe cumplir dicha entidad.

Las autoridades competentes podrán utilizar y tomar en consideración los trabajos ya realizados por la entidad o por la autoridad competente en el contexto de las evaluaciones de otros riesgos o elementos del PRES a fin de tener una visión actualizada de la evaluación. En concreto, al realizar las evaluaciones especificadas en estas Directrices, las autoridades competentes seleccionarán el enfoque de evaluación supervisora más adecuado y la metodología que mejor se ajuste a la entidad aplicando el criterio de proporcionalidad. Las autoridades competentes utilizarán la documentación existente y disponible (por ejemplo, informes pertinentes y otros documentos, reuniones con los responsables de gestión (del riesgo), resultados de la inspección in situ ) como base para su evaluación.

Las autoridades competentes resumirán los resultados de sus evaluaciones de los criterios especificados en estas Directrices y los utilizarán con el fin de extraer conclusiones sobre la evaluación de los elementos del PRES especificados en las Directrices de la ABE sobre el PRES.

En particular, la evaluación del gobierno y de la estrategia de TIC realizada de conformidad con el título 2 de las presentes Directrices generará resultados que se tendrán en cuenta en el resumen de los resultados de la evaluación del gobierno interno y de los controles globales en el marco del PRES, tal como se especifica en el título 5 de las Directrices de la ABE sobre el PRES, y se reflejarán en la puntuación de ese elemento del PRES. Asimismo, las autoridades competentes tendrán en cuenta que cualquier impacto adverso significativo que la evaluación de la estrategia de TIC pueda tener sobre la estrategia de negocio de la entidad, o cualquier preocupación respecto a que la entidad no tenga suficientes recursos y capacidades de TIC para llevar a cabo y dar soporte a cambios estratégicos importantes previstos deberán incorporarse al análisis del modelo de negocio de conformidad con el título 4 de las Directrices de la ABE sobre el PRES.

El resultado de la evaluación del riesgo de TIC, tal como se especifica en el título 3 de estas Directrices, servirá de base para obtener los resultados de la evaluación del riesgo operacional y para determinar la puntuación pertinente, como se especifica en el título 6.4 de las Directrices de la ABE sobre el PRES.

Cabe señalar que, si bien las autoridades competentes evaluarán las subcategorías de riesgos como parte de las categorías principales (es decir, el riesgo de TIC se evaluará como parte del riesgo operacional), cuando consideren que algunas subcategorías son materiales, pueden evaluarlas de manera individual. Con este fin, si las autoridades competentes identifican el riesgo de TIC como riesgo material, las presentes Directrices también proporcionan un cuadro de puntuaciones (cuadro 1) que se utilizará para asignar una puntuación independiente a la subcategoría de riesgo de TIC, de conformidad con el enfoque general sobre la puntuación de los riesgos para el capital que figura en las Directrices de la ABE sobre el PRES.

A fin de determinar si el riesgo de TIC debe considerarse material y, por lo tanto, debería evaluarse y puntuarse como subcategoría individual del riesgo operacional, las autoridades competentes pueden usar los criterios especificados en la sección 6.1 de las Directrices de la ABE sobre el PRES.

Al aplicar estas Directrices, las autoridades competentes deberán considerar, cuando proceda, la lista no exhaustiva de subcategorías y escenarios de riesgo de TIC que figuran en el anexo, observando que el anexo se centra en los riesgos de TIC que pueden dar lugar a pérdidas muy graves. Las autoridades competentes pueden excluir algunos de los riesgos de TIC incluidos en la taxonomía si no son pertinentes para su evaluación. Se espera que las entidades mantengan sus propias taxonomías de riesgo en lugar de utilizar la taxonomía de riesgos de TIC presentada en el anexo.

Cuando estas Directrices se apliquen en relación con grupos bancarios transfronterizos y sus entidades y se haya creado un colegio de supervisores, las autoridades competentes implicadas, en el contexto de su cooperación para la evaluación del PRES de conformidad con la sección 11.1 de las Directrices de la ABE sobre el PRES, coordinarán, en la medida de lo posible, el alcance exacto y detallado de cada elemento de información de manera coherente para todas las entidades del grupo.