60. En particular, las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz …

En particular, las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para identificar, entender y medir el riesgo de externalización de las TIC y, en particular, si dispone de controles y un entorno de control para mitigar los riesgos relacionados con los servicios de TIC externalizados que sean proporcionales al tamaño, las actividades y el perfil de riesgo de TIC de la entidad y que incluyan:

• a. una evaluación del impacto de la externalización de las TIC sobre la gestión de riesgos de la entidad en relación con el uso de proveedores de servicios (por ejemplo, proveedores de servicios en la nube) y sus servicios durante el proceso de adquisición, que se documenta y es tenido en cuenta por la alta dirección o el órgano de dirección a la hora de tomar una decisión sobre si externalizar los servicios o no. La entidad revisará las políticas de gestión de riesgos de TIC y el entorno de control y los controles de TIC del proveedor de servicios para asegurarse de que cumplen con los

9 Comité de Supervisión Bancaria de Basilea, Principios para una eficaz agregación de datos sobre riesgos y presentación de informes de riesgos, enero de 2013, disponible en línea: http://www.bis.org/publ/bcbs239_es.pdf. objetivos internos de gestión de riesgos de la entidad y su apetito de riesgo. Esta revisión se actualizará periódicamente durante el periodo contractual de la externalización, teniendo en cuenta las características de los servicios subcontratados;

• b. un seguimiento de los riesgos de TIC de los servicios externalizados durante el periodo contractual de la externalización como parte de la gestión de riesgos de la entidad, que sirva de base para la presentación de informes de gestión de riesgos de TIC de la entidad (por ejemplo, informes de continuidad del negocio, informes de seguridad).
• c. un seguimiento y comparación de los niveles de servicio recibidos con los niveles de servicio contractualmente acordados que deben formar parte del contrato de externalización o del acuerdo de nivel de servicio (SLA); y
• d. personal, recursos y competencias adecuados para vigilar y gestionar los riesgos de TIC de los servicios externalizados.

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/