1 osasto – Yleiset määräykset

Toimivaltaisten viranomaisten tulisi arvioida ICT-riskit, ICT-hallintaa koskevat järjestelyt ja ICT-strategia osana SREP-prosessia ja noudattaa tällöin vähimmäisvaatimuksia ja suhteellisuuskriteerejä, jotka esitetään EPV:n SREP-ohjeiden 2 osastossa. Tämä tarkoittaa erityisesti, että

• a. ICT-riskien arviointitiheys riippuu valvonnan vähimmäisvaatimuksista, jotka määräytyvät sen perusteella, mihin SREP-ohjeiden mukaiseen luokkaan yhtiö asetetaan ja mikä on sen oma valvontaohjelma, ja
• b. ICT-riskien arvioinnin laajuus, yksityiskohtaisuus ja intensiivisyys tulisi suhteuttaa yhtiön kokoon, rakenteeseen ja toimintaympäristöön sekä yhtiön toimintojen luonteeseen, laajuuteen ja monimuotoisuuteen.

Suhteellisuusperiaatetta sovelletaan näissä ohjeissa valvonnan ja yhtiön kanssa käytävän vuoropuhelun laajuuteen, tiheyteen ja intensiivisyyteen sekä odotuksiin siitä, mitä vaatimuksia yhtiön tulisi täyttää.

Arvioinnin päivittämiseksi toimivaltaiset viranomaiset voivat käyttää tukena ja tarkastella toimia, jotka yhtiö tai toimivaltainen viranomainen on jo toteuttanut muiden riskien arvioinnin yhteydessä, tai SREP-arvioinnin osioita. Suorittaessaan erityisesti näiden ohjeiden mukaisia arviointeja toimivaltaisten viranomaisten tulisi valita valvonta-arvioiden laadintaan tarkoituksenmukaisimmat lähestymistavat ja menetelmät, jotka soveltuvat parhaiten yhtiöön ja ovat oikein suhteutettuja. Arviointitietojen hankkimiseksi toimivaltaisten viranomaisten tulisi hyödyntää jo olemassa ja saatavilla olevaa aineistoa (esim. raportteja ja muita asiakirjoja, yhtiön johdon kanssa pidettyjä (riskienhallinta)kokouksia ja tarkastuskäyntien tuloksia).

Toimivaltaisten viranomaisten tulisi laatia yhteenveto näissä ohjeissa esitettyjä kriteerejä koskevien arviointien tuloksista ja hyödyntää niitä laatiakseen päätelmiä SREP-arvioinnin osioista, joita täsmennetään EPV:n SREP-ohjeissa.

Näiden ohjeiden 2 osaston mukaisesti suoritetun ICT-hallinnan ja -strategian arvioinnin tulisi johtaa tuloksiin, joita voidaan hyödyntää varsinkin EPV:n SREP-ohjeiden 5 osastossa esitetyssä sisäistä hallintoa ja yhtiön laajuisia kontrollitekijöitä koskevien arviointihavaintojen yhteenvedossa ja ottaa huomioon kyseisen SREP-osion pisteytyksessä. Toimivaltaisten viranomaisten tulisi myös ottaa huomioon, että EPV:n SREP-ohjeiden 4 osaston mukaisesti suoritettuun liiketoimintamallin analyysiin tulisi sisällyttää kaikki ICT-strategian arvioinnin merkittävät haittavaikutukset yhtiön liiketoimintastrategiaan tai kaikki epäilyt siitä, ettei yhtiöllä ole ehkä riittävästi ICT-resursseja ja ICT-valmiuksia tehdä ja tukea suunniteltuja tärkeitä strategisia muutoksia.

Näiden ohjeiden 3 osastossa esitetyn ICT-riskien arvioinnin tulokset tulisi ottaa huomioon operatiivisen riskin arvioinnin tuloksissa ja EPV:n SREP-ohjeiden 6.4 jaksossa esitetyssä pisteytyksessä.

On hyvä huomioida, että vaikka toimivaltaisten viranomaisten tulisi yleensä arvioida riskien alaluokkia pääluokkien osana (esim. ICT-riskejä operatiivisen riskin osana), ne voivat arvioida joitakin olennaisina pitämiään alaluokkia myös erikseen. Jos toimivaltainen viranomainen pitää ICT-riskejä olennaisina, näissä ohjeissa on pisteytystaulukko (taulukko 1), jota tulisi käyttää, kun ICT-riskeille halutaan antaa erillinen pisteytys alaluokkana. Taulukko perustuu yleiseen menetelmään, jolla pääomaan kohdistuvat riskit pisteytetään EPV:n SREP-ohjeissa.

EPV:n SREP-ohjeiden 6.1 jaksossa esitettyjen kriteerien avulla toimivaltaiset viranomaiset voivat muodostaa käsityksen siitä, tulisiko ICT-riskejä pitää olennaisina ja pitäisikö ne näin ollen arvioida ja pisteyttää operatiivisen riskin yksittäisenä alaluokkana.

Soveltaessaan näitä ohjeita toimivaltaisten viranomaisten tulisi tarkastella tarvittaessa liitteessä olevaa esimerkinomaista luetteloa ICT-riskien alaluokista ja riskiskenaarioista. Tällöin tulisi ottaa kuitenkin huomioon, että liitteessä esitetään pääasiallisesti ICT-riskejä, jotka saattavat johtaa mittaviin tappioihin. Toimivaltaiset viranomaiset voivat jättää joitakin taulukkoon sisältyviä ICT-riskejä pois, jos ne eivät ole arvioinnin kannalta merkityksellisiä. Yhtiöiden odotetaan pitävän omaa riskiluokitteluaan eikä käyttävän liitteessä esitettyjä ICT-riskien luokittelua.

Kun näitä ohjeita sovelletaan valtioiden rajat ylittävää toimintaa harjoittaviin pankkiryhmiin ja niihin kuuluviin yksiköihin ja on perustettu valvontakollegio, siihen osallistuvien toimivaltaisten viranomaisten tulisi EPV:n SREP-ohjeiden 11.1 jakson mukaisesti tekemänsä SREP-arviointiyhteistyön yhteydessä koordinoida mahdollisimman hyvin toimia, joilla kunkin tietoerän tarkka laajuus ja yksityiskohtaisuus määritellään kaikkien ryhmän yksiköiden osalta yhdenmukaisesti.