3.1 Yleiset näkökohdat

Toimivaltaisten viranomaisten tulisi arvioida, onko yhtiö asianmukaisesti tunnistanut ja arvioinut ICT-riskit ja vähentänyt niitä. Tämän prosessin tulisi olla osa operatiivisen riskin hallintajärjestelmää ja operatiiviseen riskiin sovellettavan lähestymistavan mukainen.

Toimivaltaisten viranomaisten tulisi aluksi tunnistaa olennaiset sisäsyntyiset ICT-riskit, joille yhtiö altistuu tai saattaa altistua, ja sen jälkeen arvioida yhtiön ICT-riskien hallintajärjestelmän, menettelyjen ja kontrollien tehokkuus tällaisten riskien vähentämiseksi. Arviointituloksen tulisi näkyä havaintoyhteenvedossa, jota hyödynnetään SREP-ohjeiden mukaisessa operatiivisen riskin pisteytyksessä. Jos ICT-riskiä pidetään olennaisena ja toimivaltaiset viranomaiset haluavat antaa sille erillisen pisteytyksen, niiden tulisi käyttää taulukkoa 1, jossa ICT-riski pisteytetään operatiivisen riskin alariskinä.

Kun toimivaltaiset viranomaiset suorittavat tämän osaston mukaisen arvioinnin, niiden tulisi käyttää valvontaan perustuvan arvioinnin painopisteiden määrittämisen perustana kaikkia saatavilla olevia tietolähteitä, jotka esitetään EPV:n SREP-ohjeiden 6 osaston 127 kohdassa ja joita ovat esimerkiksi yhtiön riskienhallinnan toimet, raportointi ja tulokset. Toimivaltaisten viranomaisten tulisi käyttää tämän arvioinnin suorittamiseksi myös muita tietolähteitä, kuten tarvittaessa seuraavia:

• a. ICT-riskin ja sen kontrollien itsearvioinnit (jos tällainen tieto sisältyy ICAAP-tietoihin);
• b. ICT-riskiä koskeva johdon informaatio, joka toimitetaan yhtiön ylimmälle hallintoelimelle ja josta esimerkkinä voidaan mainita säännöllinen ja tapauskohtainen ICT-riskiraportointi (myös operatiivisten tappioiden tietokanta) ja yhtiön riskienhallintatoiminnolta saadut tiedot ICT-riskeille altistumisesta;
• c. tieto- ja viestintäteknologiaan liittyvät sisäisen ja ulkoisen tarkastuksen tulokset, jotka raportoidaan yhtiön tarkastustoimikunnalle.