3.1 Consideraciones generales

Las autoridades competentes evaluarán si la entidad ha identificado, evaluado y mitigado adecuadamente sus riesgos de TIC. Este proceso deberá formar parte del marco de gestión del riesgo operacional y será congruente con el enfoque aplicable a este riesgo.

Las autoridades competentes identificarán en primer lugar los riesgos de TIC inherentes materiales a los que la entidad está o podría estar expuesta y, a continuación, realizarán una evaluación de la eficacia del marco de gestión de los riesgos de TIC y de los procedimientos y controles de la entidad para mitigar estos riesgos. El resultado de la evaluación se reflejará en un resumen de resultados que sirve de base para determinar la puntuación del riesgo operacional de las Directrices del PRES. Cuando se considere que el riesgo de TIC es material y las autoridades competentes deseen asignar una puntuación individual, se utilizará el cuadro 1 para asignarle una puntuación como subriesgo del riesgo operacional.

A la hora de realizar la evaluación contemplada en este título, las autoridades competentes deberán utilizar todas las fuentes de información disponibles, como se establece en el apartado 127 del título 6 de las Directrices de la ABE sobre el PRES, por ejemplo, las actividades, informes y resultados de la gestión de riesgos de la entidad, como base para identificar sus prioridades de evaluación supervisora. Las autoridades competentes también utilizarán otras fuentes de información para llevar a cabo esta evaluación, incluidas, cuando sea pertinente, las siguientes:

• a. Autoevaluaciones del riesgo y de controles de TIC (si se proporciona en la información del ICAAP);
• b. Información de gestión relacionada con el riesgo de TIC presentada al órgano de dirección de la entidad por la función de gestión de riesgos, como, por ejemplo, informes periódicos sobre el riesgo de TIC e información específica de incidentes (incluida la contenida en la base de datos de pérdidas operacionales) o datos de exposición al riesgo de TIC;
• c. resultados de auditorías internas y externas relacionadas con las TIC comunicados al comité de auditoría de la entidad.