49. Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössä riskienhallintaa …

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössä riskienhallintaa koskevat asianmukaiset toimintaperiaatteet, prosessit ja riskinsietorajat havaittuja olennaisia ICT-riskejä varten. Nämä voivat olla osana operatiivisen riskin hallintajärjestelmää tai ne voidaan esittää erillisessä asiakirjassa. Tätä arviointia varten toimivaltaisten viranomaisten tulisi ottaa huomioon seuraavat seikat:

• a. ylin hallintoelin on laatinut riskienhallintaa koskevat toimintaperiaatteet viralliseen muotoon ja hyväksynyt ne, ja niihin sisältyy riittävästi ohjeistusta yhtiön ICT-riskinottohalusta ja tärkeimmistä ICT-riskien hallinnan tavoitteista ja/tai ICT-riskeihin sovellettavista sietorajoista. ICT-riskien hallintaperiaatteet tulisi myös toimittaa tiedoksi kaikille sidosryhmille;
• b. sovellettavat riskienhallintaperiaatteet kattavat kaikki merkittävät osatekijät havaittujen olennaisten ICT-riskien hallintaa varten;
• c. yhtiö on ottanut käyttöön prosessin ja sen perustana olevat menettelytavat tunnistaakseen (esim. riskienvalvonnan itsearviointien ja riskien skenaarioanalyysin avulla) olennaiset ICT-riskit ja seuratakseen niitä, ja
• d. yhtiö käyttää ICT-riskien hallintaa koskevaa raportointia, joka tarjoaa ajantasaista tietoa toimivalle johdolle ja ylimmälle hallintoelimelle ja jonka ansiosta toimiva johto ja/tai ylin hallintoelin voi arvioida ja seurata, noudatetaanko yhtiön ICT-riskien vähentämissuunnitelmissa ja -toimenpiteissä hyväksyttyä riskinottohalua ja/tai (mahdollisia) riskinsietorajoja, sekä valvoa olennaisten ICT-riskien muutoksia.

3.3.2 Organisaation hallinta- ja valvontajärjestelmä

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.