2.4 ICT-riski yhtiön riskienhallintajärjestelmässä

Kun toimivaltaiset viranomaiset arvioivat koko yhtiön laajuista riskienhallintaa ja kontrolleja EPV:n SREP-ohjeiden 5 osaston mukaisesti, niiden tulisi tutkia, turvaako yhtiön riskienhallinnan ja sisäisen valvonnan järjestelmä riittävästi yhtiön ICT-järjestelmät tavalla, joka on oikein suhteutettu yhtiön kokoon ja toimintaan ja sen ICT-riskiprofiiliin, joka määritellään näiden ohjeiden 3 osastossa. Toimivaltaisten viranomaisten tulisi selvittää erityisesti seuraavat seikat:

• a. riskinottohalu ja ICAAP-prosessi kattavat ICT-riskit osana laajempaa operatiivisen riskin luokkaa yleisen riskistrategian määrittelemiseksi ja sisäisen pääoman määrittämiseksi; ja
• b. ICT-riskit sisältyvät koko yhtiön kattavaan riskienhallinnan ja sisäisen valvonnan järjestelmään.

Toimivaltaisten viranomaisten tulisi ottaa a alakohdassa esitettyjen seikkojen arvioinnissa huomioon sekä odotetut että epäsuotuisat skenaariot, jotka esimerkiksi sisältyvät yhtiökohtaiseen tai valvonnalliseen stressitestiin.

Toimivaltaisten viranomaisten tulisi b alakohdassa esitettyjen seikkojen osalta arvioida, kyetäänkö EPV:n SREP-ohjeiden 104 kohdan a ja d alakohdassa sekä 105 kohdan a ja c alakohdassa yksityiskohtaisesti kuvatuilla riippumattomalla valvontatoiminnolla ja sisäisen tarkastuksen toiminnolla asianmukaisesti takaamaan, että ICT-toiminto on riittävän itsenäinen valvonta- ja tarkastustoiminnoista, kun otetaan huomioon yhtiön koko ja ICT-riskiprofiili.