Jaotis 1. Üldsätted

Pädevad asutused peaksid hindama IKT-riski ning IKT valdkonna juhtimiskorraldust ja strateegiat SREPi protsessi osana, järgides EBA SREPi suuniste jaotises 2 kirjeldatud minimaalse sekkumise mudelit ja proportsionaalsuse kriteeriumeid. Eelkõige tähendab see järgmist:

• a. IKT-riski hindamise sagedus sõltub minimaalse sekkumise mudelist, mis lähtub krediidiasutusele või investeerimisühingule määratud SREPi kategooriast, ja selle konkreetsest järelevalvealase kontrolli programmist, ning
• b. IKT-hindamise põhjalikkus, üksikasjalikkus ja mahukus peaks olema vastavuses krediidiasutuse või investeerimisühingu suuruse, ülesehituse ja tegevuskeskkonnaga ning tema tegevuse laadi, ulatuse ja keerukusega.

Seoses krediidiasutuse või investeerimisühingu suhtes rakendatava järelevalvealase sekkumise ja dialoogi ulatuse, sageduse ja mahukusega ning standarditega, millele krediidiasutus või investeerimisühing peab järelevalve eelduste kohaselt vastama, kohaldatakse käesolevates suunistes läbivalt proportsionaalsuse põhimõtet.

Pädevad asutused võivad ajakohastatud hinnangu andmiseks kasutada ja arvesse võtta krediidiasutuse või investeerimisühingu või pädeva asutuse poolt teiste riskide või SREPi elementide hindamise käigus juba tehtud tööd. Nimelt peaksid pädevad asutused käesolevate suunistega ettenähtud hindamisi läbi viies valima asjakohaseima järelevalvealase lähenemisviisi ja metoodika, mis on asjaomase krediidiasutuse või investeerimisühingu jaoks sobivaim ja proportsionaalne, ning pädevad asutused peaksid kasutama oma hinnangu sisenditena olemasolevaid ja kättesaadavaid dokumente (näiteks asjakohased aruanded ja muud dokumendid, koosolekud (riski)juhtidega, kohapealsete kontrollide tulemused).

Pädevad asutused peaksid koondama käesolevates suunistes määratletud kriteeriumide hindamistulemused ning kasutama neid EBA SREPi suunistega ette nähtud SREPi elementide hindamise kohta järelduste tegemiseks.

Eriti käesolevate suuniste jaotise 2 kohaselt tehtav juhtimiskorralduse ja IKT-strateegia hindamine peaks andma tulemused, mis kajastuksid EBA SREPi suuniste jaotisega 5 ette nähtud juhtimiskorralduse ja kogu krediidiasutust või investeerimisühingut hõlmavate kontrollimeetmete elemendi hindamises ning vastavalt ka selle SREPi elemendi punktisummas. Lisaks peaksid pädevad asutused arvestama, et iga IKT-strateegia hinnangust tulenevat olulist negatiivset mõju krediidiasutuse või investeerimisühingu äristrateegiale või mis tahes kahtlust, et krediidiasutus või investeerimisühing ei pruugi omada piisavalt IKT-ressursse ja -võimekust kavandatud oluliste strateegiliste muudatuste elluviimiseks ja toetuseks, tuleks arvestada ka EBA SREPi suuniste jaotise 4 kohases ärimudeli analüüsis.

Nende suuniste jaotises 3 osutatud IKT-riski hinnangu tulemust tuleks kajastada operatsiooniriski hinnangus ning seda tuleks arvestada ka EBA SREPi suuniste punktis 6.4 sätestatud asjakohases punktisummas.

Tuleb märkida, et kuigi üldiselt peaksid pädevad asutused hindama riskide allkategooriaid põhikategooriate osana (näiteks IKT-riski hinnatakse operatsiooniriski raames), võivad nad juhul, kui peavad allkategooriaid oluliseks, hinnata neid eraldi. Sellepärast esitatakse käesolevates suunistes juhuks, kui pädev asutus tuvastab IKT-riski olulise riskina, ka punktitabel (tabel 1), mida tuleks kasutada IKT-riskile kui eraldiseisvale allkategooriale punktide andmiseks lähtuvalt EBA SREPi suuniste üldisest lähenemisviisist kapitalile avalduvate riskide hindamisel.

Et teha kindlaks, kas IKT-riski tuleks käsitleda olulisena ja kas seetõttu tuleks seda hinnata ja anda sellele punkte operatsiooniriski allkategooriana, võivad pädevad asutused kasutada EBA SREPi suuniste punktis 6.1 määratletud kriteeriumeid.

Käesolevate suuniste kohaldamisel peaksid pädevad asutused vajaduse korral kaaluma lisas esitatud mitteammendavat IKT-riski allkategooriate ja riskistsenaariumide loetelu, võttes arvesse, et lisa keskendub IKT-riskidele, mis võivad põhjustada tõsist kahju. Pädevad asutused võivad jätta mõne klassifikatsioonis hõlmatud IKT-riski välja, kui see ei ole nende hinnangu järgi oluline. Krediidiasutuselt või investeerimisühingult eeldatakse pigem oma riskiklassifikatsiooni kui lisas esitatud IKT-riskide klassifikatsiooni kasutamist.

Juhul kui suuniseid kohaldatakse piiriülestele pangakontsernidele ja nende üksustele ning loodud on järelevalvekolleegium, peavad osalevad pädevad asutused SREPi suuniste punkti 11.1 kohasel järelevalvealasel läbivaatamisel ja hindamisel tehtava koostöö raames iga kontserni liikme puhul võimalikult suurel määral järjepidevalt koordineerima iga teabeühiku täpset ja üksikasjalikku ulatust.