2.1 Yleiset periaatteet

Koska tieto- ja viestintäteknologia on yhtiön moitteettoman toiminnan olennainen edellytys, toimivaltaisten viranomaisten tulisi arvioida, kattaako yhtiön hallinnon ja sisäisen valvonnan järjestäminen riittävästi ICT-järjestelmät ja niihin liittyvät riskit, ja käsitelläänkö ja hallitaanko nämä näkökohdat riittävästi ylimmässä hallintoelimessä.

Kun toimivaltaiset viranomaiset laativat tällaisen arvion, niiden tulisi käyttää vertailukohtana hyvän sisäisen hallinnon ja riskienvalvontajärjestelyjen vaatimuksia ja standardeja, jotka on esitetty sisäisen hallinnon järjestämisestä annetuissa EPV:n ohjeissa (GL 44)⁴ ja sovellettavassa kansainvälisessä ohjeistuksessa, mikäli näitä voidaan soveltaa ICT-järjestelmien ja -riskien erityisluonne huomioon ottaen.

⁴ EPV:n ohjeet sisäisen valvonnan järjestämisestä, GL 44, 27.9.2011.

Tämän osaston mukainen arviointi ei koske niitä ICT-järjestelmien tai -riskien hallinnan ja kontrollien erityisosia, jotka painottuvat näiden ohjeiden 3 osastossa käsiteltävien erityisten ICT-riskien hallintaan. Tässä osastossa keskitytäänkin seuraaviin osa-alueisiin:

• a. ICT-strategia – onko yhtiöllä riittävän hallittu ICT-strategia, joka on yhdenmukainen yhtiön liiketoimintastrategian kanssa.
• b. Yleinen sisäinen hallinto – ovatko koko yhtiön sisäiset hallintojärjestelyt riittävät suhteessa yhtiön ICT-järjestelmiin.
• c. ICT-riskit yhtiönyhtiön riskienhallintajärjestelmässä – suojaako yhtiön riskienhallinnan ja sisäisen valvonnan järjestelmä riittävästi yhtiön ICT-järjestelmiä.

Edellisen kohdan a alakohta tarjoaa tietoa yhtiön hallinnon eri osista, mutta sen tuloksia olisi käytettävä lähinnä EPV:n SREP-ohjeiden 4 osastossa esitetyn liiketoimintamallin arvioinnissa. Edellisen kohdan b ja c alakohdan mukainen arviointi täydentää EPV:n SREP-ohjeiden 5 osastossa käsiteltyjen aiheiden arviointia, ja sen tuloksia tulisi hyödyntää SREP-ohjeiden 5 osaston mukaisesti tehdyssä arvioinnissa.

Näiden ohjeiden 2 osaston mukaisen arvioinnin tuloksia tulisi tarvittaessa hyödyntää myös riskien hallinnan ja kontrollien arvioinnissa, jota käsitellään näiden ohjeiden 3 osastossa.