3.1 Üldised kaalutlused

Pädevad asutused peaksid hindama, kas krediidiasutus või investeerimisühing on oma IKT-riske nõuetekohaselt tuvastanud, hinnanud ja maandanud. See protsess peaks olema osa operatsiooniriski juhtimise raamistikust ja kooskõlas operatsiooniriski hindamisel kasutatava lähenemisviisiga.

Kõigepealt peaksid pädevad asutused tegema kindlaks krediidiasutusele või investeerimisühingule avalduvad või avalduda võivad olulised olemuslikud IKT-riskid, millele järgneb krediidiasutuse või investeerimisühingu IKT-riskide juhtimise raamistiku ning nende maandamise menetluste ja meetmete tõhususe hindamine. Hindamise tulemus peaks kajastuma järelduste kokkuvõttes, mida arvestatakse SREPi suuniste operatsiooniriski punktisummas. Kui IKT-riski peetakse oluliseks ning pädev asutus soovib määrata individuaalse punktisumma, tuleks kasutada tabelit 1, et anda sellele riskile punktid operatsiooniriski allkategooriana.

Käesoleva jaotise kohasel riskihindamisel peaksid pädevad asutused kasutama järelevalvealase hindamise prioriteetide kindlaksmääramisel kõiki EBA SREPi suuniste jaotise 6 punktis 127 nimetatud kättesaadavaid andmeallikaid, näiteks krediidiasutuse või investeerimisühingu riskijuhtimistegevusi, aruandeid ja tulemusi. Samuti peaksid pädevad asutused kasutama selleks hindamiseks teisi andmeallikaid, sealhulgas järgmisi, kui asjakohased:

• a. IKT-riskide ja -kontrollimeetmete enesehinnangud (kui need on sisemise kapitali adekvaatsuse hindamise protsessi teabes esitatud);
• b. krediidiasutuse või investeerimisühingu juhtorganile esitatud IKT-riskiga seotud juhtimisteave, näiteks regulaarsed või intsidentidest ajendatud IKT-riski aruanded (sealhulgas tegevuskahjude andmebaasist), IKT-riskile avatuse andmed krediidiasutuse või investeerimisühingu riskijuhtimisfunktsioonilt;
• c. krediidiasutuse või investeerimisühingu auditikomiteele teatatud IKTga seotud sise- ja välisauditite tulemused.