3.3 Oluliste IKT-riskide maandamiseks kasutatavate kontrollimeetmete hindamine

Krediidiasutuse või investeerimisühingu IKT-jääkriski hindamiseks peaksid pädevad asutused vaatama läbi, kuidas krediidiasutus või investeerimisühing tuvastab, jälgib, hindab ja maandab pädeva asutuse poolt eelkirjeldatud hindamise käigus tuvastatud olulisi riske.

Selleks peaksid pädevad asutused seoses tuvastatud oluliste IKT-riskidega vaatama läbi

• c. kehtivad IKT-riskide juhtimise põhimõtted, protsessid ja riskide vastuvõetavuse piirmäärad;
• d. organisatsiooni juhtimise ja järelevalve raamistiku;
• e. siseauditi hõlmavuse ja selle järeldused ning
• f. kohaldatavad IKT-riskide kontrollimeetmed, mis on seotud tuvastatud oluliste IKT-riskidega.

Hindamisel tuleks arvesse võtta EBA SREPi suuniste jaotises 5 osutatud üldise riskijuhtimis- ja sisekontrolliraamistiku analüüsi tulemusi ning käesolevate suuniste jaotises 2 käsitletud krediidiasutuse või investeerimisühingu juhtimiskorraldust ja strateegiat, sest nimetatud valdkondades leitud olulised puudujäägid võivad mõjutada krediidiasutuse või investeerimisühingu võimet hallata ja maandada avatust IKT-riskidele. Asjakohasel juhul peaksid pädevad asutused kasutama ka käesolevate suuniste punktis 37 nimetatud andmeallikaid.

Pädevad asutused peaksid allpool esitatud hindamisetapid läbi viima viisil, mis on krediidiasutuse või investeerimisühingu tegevuse laadi, ulatuse ja keerukusega proportsionaalne, ning teostama krediidiasutuse või investeerimisühingu IKT-riskiprofiilile vastava järelevalvealase läbivaatamise. 3.3.1 IKT-riskide juhtimise põhimõtted, protsessid ja vastuvõetavuse piirmäärad

Pädevad asutused peaksid uurima, kas krediidiasutus või investeerimisühing on kehtestanud tuvastatud oluliste IKT-riskide suhtes asjakohased riskijuhtimise põhimõtted, protsessid ja vastuvõetavuse piirmäärad. See võib olla osa operatsiooniriski juhtimise raamistikust või eraldi dokument. Hindamisel peaksid pädevad asutused arvestama järgmist:

• a. riskijuhtimise põhimõtted on koostanud ja heaks kiitnud juhtorgan ja need sisaldavad piisavaid suuniseid krediidiasutuse või investeerimisühingu riskivalmiduse kohta ning peamisi kavandatavaid IKT-riski juhtimise eesmärke ja/või kohaldatavaid IKT-riski vastuvõetavuse piirmäärasid; asjaomased IKT-riski juhtimise põhimõtted peaksid olema edastatud ka kõigile asjaomastele sidusrühmadele;
• b. kohaldatavad põhimõtted hõlmavad kõiki tuvastatud oluliste IKT-riskide juhtimiseks olulisi elemente;
• c. krediidiasutus või investeerimisühing on rakendanud protsessi ja selle alusmenetlused seonduvate oluliste IKT-riskide tuvastamiseks (näiteks riskikontrolli enesehinnangud, riskistsenaariumide analüüsid) ja jälgimiseks ning
• d. krediidiasutus või investeerimisühing on kehtestanud IKT-riski juhtimise aruandluse, mis tagab kõrgema juhtkonna ja juhtorgani õigeaegse teavitamise ning võimaldab kõrgemal juhtkonnal ja/või juhtorganil hinnata ja jälgida, kas krediidiasutuse või investeerimisühingu IKT-riski maandamiskavad ja -meetmed on kooskõlas heakskiidetud riskivalmiduse ja/või vastuvõetavuse piirmääradega (olemasolu korral), ning jälgida oluliste IKT-riskide muutumist.

3.3.2 Organisatsiooni juhtimise ja järelevalve raamistik

Pädevad asutused peaksid hindama, kuidas kehtivad riskijuhtimise ülesanded ja vastutusalad on integreeritud organisatsiooni juhtimiskorraldusega, et tagada tuvastatud IKT-riskide juhtimine ja järelevalve. Seoses sellega peaksid pädevad asutused hindama, kas krediidiasutuse või investeerimisühingu puhul kehtib järgmine:

• a. selged ülesanded ja vastutusalad seonduva olulise IKT-riski tuvastamiseks, hindamiseks, jälgimiseks, maandamiseks, aruandluseks ja järelevalveks;
• b. riskidega seotud vastutusalad ja ülesanded on kõigile organisatsiooni asjaomastele üksustele (näiteks tegevussuunad, IT) ja protsessidele selgelt teatatud ja jaotatud ning nendega integreeritud, sealhulgas riskiteabe kogumise ja koondamise ning kõrgemale juhtkonnale ja/või juhtorganile edastamise ülesanded ja vastutusalad;
• c. IKT-riski juhtimise tegevusi teostatakse piisava hulga kvalifitseeritud töötajate ning sobivate tehniliste vahendite abil; kohaldatavate riskimaanduskavade usaldusväärsuse hindamiseks peaksid pädevad asutused hindama ka seda, kas krediidiasutus või investeerimisühing on eraldanud nende rakendamiseks piisavalt rahalisi vahendeid ja/või muid vajalikke ressursse;
• d. piisavad järelmeetmed ja asjakohane reaktsioon juhtorgani poolt, kui sõltumatud kontrollifunktsioonid avastavad seoses IKT-riski(de)ga midagi olulist, võttes arvesse mõne aspekti võimalikku delegeerimist komiteele (kui see on olemas), ning
• e. kehtivate IKT-eeskirjade ja -põhimõtete erandid pannakse kirja ja nende suhtes rakendatakse sõltumatu kontrollifunktsiooni poolset dokumenteerivat läbivaatamist ja aruandlust, mis keskendub seotud riskidele.

3.3.3 Siseauditi hõlmavus ja järeldused

Pädevad asutused peaksid kaaluma, kas siseauditi funktsioon on kehtiva IKT-riski kontrolliraamistiku auditeerimise seisukohast tõhus, hinnates, kas

• a. IKT-riski kontrolliraamistikku auditeeritakse vajaliku kvaliteedi, põhjalikkuse ja sagedusega ning proportsionaalselt krediidiasutuse või investeerimisühingu suuruse, tegevuste ja IKT-riskiprofiiliga;
• b. auditikava sisaldab krediidiasutuse või investeerimisühingu tuvastatud oluliste IKT-riskide auditeerimist;
• c. IKT-auditi olulised järeldused, sealhulgas kokkulepitud tegevused, teatatakse juhtorganile ning
• d. IKT-auditi järelduste, sealhulgas kokkulepitud tegevuste osas rakendatakse järelmeetmeid ning kõrgem juhtkond ja/või auditikomitee vaatab eduaruandeid regulaarselt läbi.

3.3.4 Tuvastatud oluliste IKT-riskidega seonduvad konkreetsed IKT-riskide kontrollimeetmed

Tuvastatud oluliste IKT-riskidega seoses peaksid pädevad asutused hindama, kas krediidiasutus või investeerimisühing on kehtestanud konkreetsed kontrollimeetmed nende riskide juhtimiseks. Allpool punktides on esitatud mitteammendav loetelu konkreetsetest kontrollimeetmetest, mida võiks kaaluda, hinnates punkti 3.2.3 alusel tuvastatud ja järgmistesse IKT-riski kategooriatesse liigitatud olulisi riske:

• a. IKT käideldavuse ja talitluspidevusega seotud riskid;
• b. IKT-turvariskid;
• c. IKT-muutustega seotud riskid;
• d. IKT andmetervikluse riskid;
• e. IKTga seotud tegevuse edasiandmise riskid.
• (a) Oluliste IKT käideldavuse ja talitluspidevusega seotud riskide juhtimise kontrollimeetmed

Lisaks EBA SREPi suuniste nõuetele (punktid 279–281) peaksid pädevad asutused hindama, kas krediidiasutusel või investeerimisühingul on kasutusel sobiv raamistik IKT käideldavuse ja talitluspidevusega seotud riskide tuvastamiseks, mõistmiseks, mõõtmiseks ja maandamiseks.

Hindamisel peaksid pädevad asutused eelkõige arvestama järgmist:

• a. kas raamistikus on määratletud olulised IKT-protsessid ja asjakohased IKT-tugisüsteemid, mis peaksid olema osa vastupidavuse ja talitluspidevuse kavadest, mis sisaldavad järgmist:
• i. oluliste äriprotsesside ja tugisüsteemide sõltuvusseoste põhjalik analüüs;
• ii. IKT-tugisüsteemide taaste-eesmärkide kindlaksmääramine (mis tavaliselt määratakse kindlaks ettevõtte poolt ja/või eeskirjade alusel taaste sihtkestuse (RTO) või taaste sihtseisu (RPO) eesmärgina);
• iii. asjakohane hädaolukorrakava, mis võimaldab oluliste IKT-süsteemide ja teenuste käideldavust, talitluspidevust ja taastamist, et vähendada lubatud piirides krediidiasutuse või investeerimisühingu toimimise häireid;
• b. kas raamistikku kuuluvad vastupidavuse ja talitluspidevuse kontrollikeskkonna põhimõtted ja standardid ning tegevuskontrollid, mis hõlmavad järgmist:
• i. meetmed, mis aitavad vältida seda, et üksik stsenaarium, intsident või avarii mõjutaks korraga nii IKT tootmis- kui ka taastamise süsteeme;
• ii. IKT-süsteemi varundamis- ja taasteprotseduurid olulise tarkvara ja andmete jaoks, mis tagavad, et varukoopiad salvestatakse turvalises ja piisavalt kauges asukohas, nii et ükski intsident ega avarii ei saaks neid olulisi andmeid hävitada ega rikkuda;
• iii. seirelahendused IKT käideldavuse ja talitluspidevusega seotud intsidentide õigeaegseks avastamiseks;
• iv. intsidentide dokumenteeritud halduse ja eskalatsiooniprotsess, mis annab juhiseid ka erinevate intsidentide halduse ja eskaleerumisega seotud ülesannete ja vastutusalade kohta, samuti kriisikomitee(de) liikmete ning hädaolukorras rakendatava käsuahela kohta;
• v. füüsilised meetmed nii krediidiasutuse või investeerimisühingu olulise IKT-taristu (näiteks andmekeskuste) kaitseks keskkonnariskide (näiteks üleujutuste ja teiste loodusõnnetuste) eest kui ka IKT-süsteemide jaoks sobiva töökeskkonna tagamiseks (näiteks kliimaseade);
• vi. protsessid, ülesanded ja vastutusalad, mis tagavad, et ka tellitud IKT-süsteemid ja -teenused on piisavate vastupidavuse ja talitluspidevuse lahenduste ja kavadega kaetud;
• vii. oluliste IKT-süsteemide ja -teenuste jaoks IKT toimivuse ja võimsuse kavandamise ja seire lahendused, millel on kindlaks määratletud käideldavusnõuded, et avastada õigeaegselt olulised toimivuse ja võimsuse piirangud;
• viii. kui vajalik ja asjakohane, lahendused oluliste internetitegevuste või -teenuste (näiteks elektroonilise panganduse) kaitseks teenusetõkestamise ründe ning teiste küberrünnete vastu internetist, mille eesmärk on vältida või häirida kõnealuste tegevuste ja teenuste käideldavust;
• c. kas raamistik testib IKT käideldavuse ja talitluspidevuse lahendusi mitmesuguste realistlike stsenaariumide korral, sealhulgas küberründed, tõrkesiirde testid ning kriitilise tähtsusega tarkvara ja andmete varukoopiate testid,
• i. mis on kavandatud, sõnastatud ja dokumenteeritud ning mille tulemusi kasutatakse IKT käideldavuse ja talitluspidevuse lahenduste tõhususe parandamiseks;
• ii. mis hõlmavad organisatsioonisiseseid sidusrühmi ja funktsioone, näiteks tegevussuundade juhte, sealhulgas talitluspidevuse, intsidentidele ja kriisidele reageerimise meeskondi ja asjaomaseid organisatsiooniväliseid sidusrühmi, ning
• iii. millesse kaasatakse asjakohaselt juhtorgan ja kõrgem juhtkond (näiteks kriisihaldusmeeskondade liikmetena), keda teavitatakse ka testide tulemustest.
• (b) Oluliste IKT-turvariskide juhtimise kontrollimeetmed

Pädevad asutused peaksid hindama, kas krediidiasutusel või investeerimisühingul on kasutusel tõhus raamistik IKT-turvariski tuvastamiseks, mõistmiseks, mõõtmiseks ja maandamiseks. Hindamisel peaksid pädevad asutused eelkõige uurima, kas raamistik hõlmab järgmist:

• a. selgelt määratletud ülesanded ja vastutusalad seoses järgmisega:
• i. isiku(d) ja/või komitee(d), kes vastutavad ja/või on aruandekohustuslikud IKT turvalisuse igapäevahalduse ning üldiste IKT turvalisuse põhimõtete järgimise vallas, pöörates tähelepanu nende sõltumatusele;
• ii. IKT-turvakontrollide kavandamine, rakendamine, haldamine ja järelevalve;
• iii. oluliste IKT-süsteemide ja -teenuste kaitse näiteks haavatavuse hindamise protsessi, tarkvara turvaaukude haldamise, lõpp-punkti kaitse (näiteks pahavara viiruse vastu), sissetungide avastamise ja vältimise vahendite kasutuselevõtu kaudu;
• iv. asutuseväliste ja -siseste IKT turvaintsidentide vältimine, klassifitseerimine ja käsitlemine, sealhulgas intsidentidele reageerimine ning IKT-süsteemide ja -teenuste jätkamine ja taastamine;
• v. regulaarsed ja ennetavad ohuhinnangud asjakohaste turvakontrollide haldamiseks;
• b. IKT turvapõhimõtted, mis võtavad arvesse ja vajaduse korral järgivad rahvusvaheliselt tunnustatud IKT turvastandardeid ja -põhimõtteid (näiteks minimaalõiguste printsiip ehk juurdepääsuõiguse piiramine minimaalsele tasemele, mis võimaldab normaalset toimimist, ja süvakaitse põhimõte ehk süsteemi kui terviku turvalisust suurendavate mitmekordsete turvamehhanismide projekteerimine süsteemi arhitektuuri);
• c. võimalikku pettuseriski ja/või konfidentsiaalsete andmete võimalikku väärkasutust ja/või kuritarvitamist kajastav IKT-süsteemide, -teenuste ja proportsionaalsete turvanõuete tuvastamise protsess koos tuvastatud IKT-süsteemide, -teenuste ja andmete korral kehtivate dokumenteeritud turvatingimustega, mis on kooskõlas krediidiasutuse või investeerimisühingu riskivalmidusega ja mille nõuetekohase rakendamise üle tehakse järelevalvet;
• d. dokumenteeritud turvaintsidentide halduse ja eskalatsiooni protsess, mis annab juhiseid erinevate intsidentide halduse ja eskaleerumisega seotud ülesannete ja vastutusalade kohta, samuti kriisikomitee(de) liikmete ning turvalisusega seotud hädaolukorras rakendatava käsuahela kohta;
• e. kasutus- ja haldustoimingute logimine, mis võimaldab tõhusat järelevalvet ning volitamata tegevuse õigeaegset avastamist ja sellele reageerimist, et aidata ja viia läbi turvaintsidentide kriminaaluurimised. Krediidiasutusel või investeerimisühingul peaksid olema kehtestatud logimispõhimõtted, milles on määratletud sobivad logide liigid ja logide säilitamise aeg;
• f. teadlikkuse tõstmise kampaaniad või algatused, mille käigus tutvustatakse krediidiasutuse või investeerimisühingu kõigile tasanditele IKT-süsteemide ohutut kasutamist ja kaitset ning peamisi IKT turva- vm riske, millest nad peaksid teadlikud olema, eriti olemasolevad ja tekkivad küberohud (näiteks arvutiviirused, võimalikud organisatsioonisisesed või -välised kuritarvitused või ründed, küberründed), ning nende roll turvarikkumiste riski maandamisel;
• g. piisavad füüsilised kaitsemeetmed (nt videovalve, sissetungihäire, turvauksed), et hoida ära volitamata füüsiline juurdepääs olulistele ja tundlikele IKT-süsteemidele (nt andmekeskustele);
• h. meetmed IKT-süsteemide kaitseks rünnete eest, mis tulevad internetist (näiteks küberründed) või teistest välisvõrkudest (näiteks traditsioonilistest telekommunikatsioonivõrkudest või usaldusväärsete partneritega loodud ühendustest). Pädevad asutused peaksid uurima, kas krediidiasutuse või investeerimisühingu raamistik hõlmab järgmist:
• i. täieliku ja ajakohastatud andmeinventuuri haldamise protsess ja lahendused ning kõigi väljapoole suunatud võrguühenduste ülevaade (näiteks veebilehed, internetirakendused, juhtmeta internetiühendus, kaugjuurdepääs), mille kaudu kolmandad isikud võiksid organisatsioonisisestesse IKT-süsteemidesse tungida;
• ii. hoolikalt hallatavad ja jälgitavad turvameetmed (näiteks tulemüürid, puhverserverid, meilivahendusserverid, viirusetõrje ja sisuskannerid), mis kindlustavad sissetulevat ja väljaminevat võrguliiklust (näiteks e-post) ja väljapoole suunatud võrguühendusi, mille kaudu kolmandad isikud võiksid organisatsioonisisestesse IKT-süsteemidesse tungida;
• iii. protsessid ja lahendused, mis turvavad veebilehti ja rakendusi, mida võiks internetist ja/või väljastpoolt otse rünnata ning mis võiksid toimida organisatsioonisisestesse IKT-süsteemidesse sisenemise punktina. Üldiselt hõlmavad sellised protsessid ja lahendused tunnustatud turvasüsteemide arendustavade ning IKT-süsteemi tugevdamise ja haavatavuste skaneerimise tavade ühendamist ja/või täiendavate turvalahenduste, näiteks tulemüüride ja/või sissetungi avastamise ja/või sissetungi ärahoidmise süsteemide rakendamist;
• iv. regulaarne turvasüsteemide toimivuse testimine, et hinnata rakendatavate küberturbe- ja organisatsioonisiseste IKT-turvameetmete ja -protsesside tõhusust. Kõnealuseid teste peaksid tegema vajalike oskustega töötajad ja/või väliseksperdid, testide tulemused ja järeldused tuleks dokumenteerida ning edastada kõrgemale juhtkonnale ja/või juhtorganile. Kui see on vajalik ja asjakohane, peaks krediidiasutus või investeerimisühing saama nende testide abil teada, kas turvakontrolle ja - protsesse tuleks täiustada ja/või kinnitada täiendavalt nende tõhusust.
• (c) Oluliste IKT-muutustega seotud riskide juhtimise kontrollimeetmed

Pädevad asutused peaksid hindama, kas krediidiasutusel või investeerimisühingul on IKT-muutustega seotud riskide tuvastamiseks, mõistmiseks, mõõtmiseks ja maandamiseks kehtestatud tõhus ning oma tegevuse laadi, ulatust ja keerukust ning IKT-riskiprofiili arvestades proportsionaalne raamistik. Krediidiasutuse või investeerimisühingu raamistik peaks hõlmama riske, mis seonduvad IKT-süsteemides tehtavate muutuste arenduse, testimise ja heakskiitmisega, sealhulgas tarkvara arendamise või muutmisega enne selle kasutuselevõttu tootmiskeskkonnas, ning tagama IKT elutsükli piisava halduse. Hindamisel peaksid pädevad asutused eelkõige uurima, kas raamistik hõlmab järgmist:

• a. dokumenteeritud protsessid muutuste haldamiseks ja kontrollimiseks IKT-süsteemides (näiteks seadistuse ja paikade haldamine) ning andmetes (näiteks veaparandused ja andmeparandused), mis tagavad IKT-riskide piisava juhtimise oluliste IKT-muutuste korral, mis võivad krediidiasutuse või investeerimisühingu riskiprofiili või riskide suurust oluliselt mõjutada;
• b. tehnilised kirjeldused koos vajaliku ülesannete lahususega rakendatavate IKT-muutustega seotud protsesside eri etappides (näiteks lahenduste kavandamine ja arendamine, uue tarkvara ja/või muutuste testimine ja heakskiitmine, üle viimine ja juurutamine tootmiskeskkonda ning veaparandused), keskendudes rakendatavatele lahendustele ja ülesannete lahususele IKT tootmissüsteemides ja andmetes töötajate (nt arendajate, IKT-süsteemihaldurite, andmebaasihaldurite) või teiste osapoolte (näiteks äriklientide ja teenusepakkujate) tehtavate muutuste haldamisel ja kontrollimisel;
• c. testimiskeskkonnad, mis kajastavad piisavalt hästi tootmiskeskkondi;
• d. tootmiskeskkonnas ning testimis- ja arenduskeskkonnas olemasolevate rakenduste ja IKT-süsteemide inventuur, et vajalikke muutusi (näiteks versiooni ajakohastusi või täiustusi, süsteemide paikamist, seadistuste muutmist) oleks võimalik seonduvates IKT-süsteemides korralikult hallata, rakendada ja jälgida;
• e. protsess, mis võimaldab kasutatavate IKT-süsteemide elutsüklit jälgida ja hallata, et tagada nende jätkuv vastavus tegelikele äri- ja riskijuhtimisvajadustele ning kindlustada kasutatavate IKT-lahenduste ja -süsteemide jätkuv toetamine nende pakkujate poolt; see protsess peab hõlmama asjakohast tarkvaraarenduse elutsükli protseduuri;
• f. tarkvara lähtekoodi kontrollisüsteem ja asjakohased menetlused volitamata muutuste ärahoidmiseks organisatsioonisiseselt arendatava tarkvara lähtekoodis;
• g. protsess, mille käigus kontrollitakse uute või oluliselt muudetud IKT-süsteemide ja tarkvara turvalisust ja haavatavust enne nende tootmiskeskkonnas kasutuselevõttu ja avamist võimalikele küberrünnetele;
• h. protsess ja lahendused konfidentsiaalsete andmete volitamata või soovimatu avaldamise vältimiseks IKT-süsteemide asendamise, arhiveerimise, kasutuselt kõrvaldamise või hävitamise käigus;
• i. sõltumatud läbivaatus- ja valideerimisprotsessid, et vähendada IKT-süsteemide muutuste rakendamisel inimvigade riski, mis võivad avaldada olulist negatiivset mõju krediidiasutuse või investeerimisühingu IKT käideldavusele, talitluspidevusele või turvalisusele (näiteks tulemüüri seadistuste olulised muutused) või krediidiasutuse või investeerimisühingu julgeolekule (näiteks tulemüüri muutused).
• (d) Oluliste IKT andmetervikluse riskide juhtimise kontrollimeetmed

Pädevad asutused peaksid hindama, kas krediidiasutus või investeerimisühing on IKT andmetervikluse riskide tuvastamiseks, mõistmiseks, mõõtmiseks ja maandamiseks kehtestanud tõhusa ning oma tegevuse laadi, ulatust ja keerukust ning IKT-riskiprofiili arvestava proportsionaalse raamistiku. Krediidiasutuse või investeerimisühingu raamistik peaks käsitlema riske, mis seonduvad IKT-süsteemides hoiustatavate ja töödeldavate andmete terviklikkuse kaitsega. Hindamisel peaksid pädevad asutused eelkõige arvestama, kas raamistik hõlmab järgmist:

• g. põhimõtted, mis määratlevad andmete terviklikkuse haldamisega seotud ülesanded ja vastutusalad IKT-süsteemides (näiteks andmearhitekt, andmetöötlejad⁶ , andmekäitlejad⁷ , andmete omanikud/haldurid⁸ ) ning annavad juhiseid, mis andmed on andmetervikluse seisukohast olulised ja vajavad IKT-andmete elutsükli eri etappides konkreetseid IKT-kontrollimeetmeid (näiteks automaatsed sisendandmete valideerimise kontrollid, andmeedastuskontrollid, andmete kooskõlastus jne) või läbivaatamist (näiteks andmearhitektuuriga ühilduvuse kontroll);
• h. dokumenteeritud andmearhitektuur, andmemudel ja/või andmesõnastik, mida valideeritakse asjaomaste äri- ja IT-sidusrühmadega, et toetada vajalikku andmete kooskõlastatust erinevates IKT-süsteemides ning tagada, et andmearhitektuur, andmemudel ja/või andmesõnastik oleks(id) kooskõlas äri- ja riskijuhtimisvajadustega;
• i. lõppkasutajapoolse andmetöötluse lubamise ja selle kasutamise põhimõtted, eriti mis puudutab oluliste lõppkasutajapoolse andmetöötluse lahenduste määratlemist, registreerimist ja dokumenteerimist (näiteks oluliste andmete töötlemisel) ning eeldatavaid turvatasemeid, et hoida ära volituseta muutusi nii vahendis endas kui ka selles talletatavates andmetes;
• j. dokumenteeritud erandite menetlemise protsess, et lahendada tuvastatud IKT andmetervikluse probleemid lähtuvalt nende olulisusest ja tundlikkusest.

⁶ Andmetöötleja vastutab andmete töötlemise ja kasutamise eest.

⁷ Andmekäitleja vastutab andmete turvalise käitlemise, edastamise ja talletamise eest.

⁸ Andmehaldur vastutab andmeelementide (nii sisu kui ka metaandmete) halduse ja kvaliteedi eest.

Kui järelevalve alla kuuluva krediidiasutuse ja investeerimisühingu suhtes kohaldatakse Baseli pangajärelevalve komitee määruses 239 toodud riskiandmete tõhusa koondamise ja aruandluse põhimõtteid⁹ , peaksid pädevad asutused vaatama läbi krediidiasutuse või investeerimisühingu riskianalüüsi oma riskidest teatamise ja andmete koondamise võimekuse kohta, võrreldes seda asjaomaste kehtivate põhimõtete ja vastavate dokumentidega ning võttes arvesse põhimõtetes sisalduvat rakendamise ajakava ja üleminekukorda.

• (e) Oluliste IKTga seotud tegevuse edasiandmise riskide juhtimise kontrollimeetmed

⁹ Baseli pangajärelevalve komitee, riskiandmete tõhusa koondamise ja aruandluse põhimõtted, jaanuar 2013, kättesaadav internetis aadressil http://www.bis.org/publ/bcbs239.pdf.

Pädevad asutused peaksid hindama, kas krediidiasutuse või investeerimisühingu tegevuse edasiandmise strateegia käsitleb kooskõlas Euroopa Pangandusjärelevalve Komitee tegevuse edasiandmise suunistega (2006) ja EBA SREPi suuniste punkti 85 alapunktis d esitatud nõudega IKTga seotud tegevuse edasiandmist, sealhulgas kontsernisisest tegevuse edasiandmist, millega pakutakse IKT-teenuseid kontserni piires. IKTga seotud tegevuse edasiandmise riske hinnates peaksid pädevad asutused võtma arvesse, et kõnealuseid riske saab käsitleda ka olemuslike operatsiooniriskide hindamise osana vastavalt EBA SREPi suuniste punkti 240 alapunktile j, et vältida tegevuse dubleerimist või mitmekordset arvestamist.

Eelkõige peaksid pädevad asutused hindama, kas krediidiasutusel või investeerimisühingul on kehtestatud tõhus raamistik IKTga seotud tegevuse edasiandmise riski tuvastamiseks, mõistmiseks ja mõõtmiseks ning kas on kehtestatud kontrollid ja kontrollikeskkond oluliste tellitud IKT-teenustega seotud riskide maandamiseks. See raamistik on krediidiasutuse või investeerimisühingu suurust, tegevust ja IKT-riskiprofiili arvestades proportsionaalne ning hõlmab järgmist:

• a. IKTga seotud tegevuse edasiandmise riski mõju hindamine krediidiasutuse või investeerimisühingu riskijuhtimisele seoses teenusepakkujate (näiteks pilveteenuse pakkujate) ja nende teenustega hankemenetluse ajal, mis on dokumenteeritud ja mida kõrgem juhtkond või juhtorgan võtab teenuste tellimise üle otsustamisel arvesse. Krediidiasutus või investeerimisühing peaks vaatama läbi teenusepakkuja IKT-riski juhtimise põhimõtted ning IKT-kontrollimeetmed ja - kontrollikeskkonna veendumaks, et need vastavad tema riskijuhtimise sise-eesmärkidele ja riskivalmidusele. Seda läbivaatust tuleks lepingujärgse tegevuse edasiandmise perioodi vältel regulaarselt uuendada, võttes arvesse tellitavate teenuste omadusi;
• b. tellitavate teenuste IKT-riskide jälgimine lepingujärgse tegevuse edasiandmise perioodi vältel krediidiasutuse või investeerimisühingu riskijuhtimise osana, mida kajastatakse krediidiasutuse või investeerimisühingu IKT-riski juhtimise aruandluses (näiteks talitluspidevuse või turvalisuse aruandlus);
• c. saadud teenuse tasemete jälgimine ja võrdlus lepingus kokkulepitud tasemetega, mis peaks olema tegevuse edasiandmise lepingu või teenustaseme lepingu osa, ning
• d. piisavalt töötajaid, ressursse ja pädevust tellitavate teenuste IKT-riskide järelevalveks ja haldamiseks.