2.4 IKT-risk krediidiasutuse või investeerimisühingu riskijuhtimisraamistikus

Hinnates kogu krediidiasutust või investeerimisühingut hõlmavaid riskijuhtimis- ja sisekontrollimeetmeid, nagu näeb ette EBA SREPi suuniste jaotis 5, peaksid pädevad asutused kaaluma, kas krediidiasutuse või investeerimisühingu riskijuhtimis- ja sisekontrolliraamistik kaitseb piisavalt krediidiasutuse või investeerimisühingu IKT-süsteeme viisil, mis on asutuse suuruse ja tegevuste ning IKT-riskiprofiiliga proportsionaalne, nagu määratletud jaotises 3. Eelkõige peaksid pädevad asutused tegema kindlaks, kas

• a. riskivalmidus ning sisemise kapitali adekvaatsuse hindamise protsess võtavad üldise riskistrateegia ning sisemise kapitali määratlemisel laiema operatsiooniriski kategooria raames arvesse IKT-riske, ning kas
• b. IKT-riskid kuuluvad kogu krediidiasutust või investeerimisühingut hõlmava riskijuhtimis- ja sisekontrolliraamistiku kohaldamisalasse.

Pädevad asutused peaksid võtma punkti a kohasel hindamisel arvesse nii eeldatavaid kui ka negatiivseid stsenaariume, näiteks krediidiasutuse- või investeerimisühingupõhises või järelevalvealases stressitestis sisalduvaid stsenaariumid.

Seoses punktiga b peaksid pädevad asutused hindama, kas EBA SREPi suuniste punkti 104 alapunktides a ja d ning punkti 105 alapunktides a ja c kirjeldatud sõltumatud kontrolli- ja siseauditifunktsioonid on sobivad, et tagada IKT ning kontrolli- ja siseauditifunktsioonide vaheline piisav sõltumatus, arvestades krediidiasutuse või investeerimisühingu suurust ja IKT-riskiprofiili.