49. Pädevad asutused peaksid uurima, kas krediidiasutus või investeerimisühing on kehtestanud …

Pädevad asutused peaksid uurima, kas krediidiasutus või investeerimisühing on kehtestanud tuvastatud oluliste IKT-riskide suhtes asjakohased riskijuhtimise põhimõtted, protsessid ja vastuvõetavuse piirmäärad. See võib olla osa operatsiooniriski juhtimise raamistikust või eraldi dokument. Hindamisel peaksid pädevad asutused arvestama järgmist:

• a. riskijuhtimise põhimõtted on koostanud ja heaks kiitnud juhtorgan ja need sisaldavad piisavaid suuniseid krediidiasutuse või investeerimisühingu riskivalmiduse kohta ning peamisi kavandatavaid IKT-riski juhtimise eesmärke ja/või kohaldatavaid IKT-riski vastuvõetavuse piirmäärasid; asjaomased IKT-riski juhtimise põhimõtted peaksid olema edastatud ka kõigile asjaomastele sidusrühmadele;
• b. kohaldatavad põhimõtted hõlmavad kõiki tuvastatud oluliste IKT-riskide juhtimiseks olulisi elemente;
• c. krediidiasutus või investeerimisühing on rakendanud protsessi ja selle alusmenetlused seonduvate oluliste IKT-riskide tuvastamiseks (näiteks riskikontrolli enesehinnangud, riskistsenaariumide analüüsid) ja jälgimiseks ning
• d. krediidiasutus või investeerimisühing on kehtestanud IKT-riski juhtimise aruandluse, mis tagab kõrgema juhtkonna ja juhtorgani õigeaegse teavitamise ning võimaldab kõrgemal juhtkonnal ja/või juhtorganil hinnata ja jälgida, kas krediidiasutuse või investeerimisühingu IKT-riski maandamiskavad ja -meetmed on kooskõlas heakskiidetud riskivalmiduse ja/või vastuvõetavuse piirmääradega (olemasolu korral), ning jälgida oluliste IKT-riskide muutumist.

3.3.2 Organisatsiooni juhtimise ja järelevalve raamistik

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

3. Seotud standardid

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/