49. Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössä riskienhallintaa …

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössä riskienhallintaa koskevat asianmukaiset toimintaperiaatteet, prosessit ja riskinsietorajat havaittuja olennaisia ICT-riskejä varten. Nämä voivat olla osana operatiivisen riskin hallintajärjestelmää tai ne voidaan esittää erillisessä asiakirjassa. Tätä arviointia varten toimivaltaisten viranomaisten tulisi ottaa huomioon seuraavat seikat:

• a. ylin hallintoelin on laatinut riskienhallintaa koskevat toimintaperiaatteet viralliseen muotoon ja hyväksynyt ne, ja niihin sisältyy riittävästi ohjeistusta yhtiön ICT-riskinottohalusta ja tärkeimmistä ICT-riskien hallinnan tavoitteista ja/tai ICT-riskeihin sovellettavista sietorajoista. ICT-riskien hallintaperiaatteet tulisi myös toimittaa tiedoksi kaikille sidosryhmille;
• b. sovellettavat riskienhallintaperiaatteet kattavat kaikki merkittävät osatekijät havaittujen olennaisten ICT-riskien hallintaa varten;
• c. yhtiö on ottanut käyttöön prosessin ja sen perustana olevat menettelytavat tunnistaakseen (esim. riskienvalvonnan itsearviointien ja riskien skenaarioanalyysin avulla) olennaiset ICT-riskit ja seuratakseen niitä, ja
• d. yhtiö käyttää ICT-riskien hallintaa koskevaa raportointia, joka tarjoaa ajantasaista tietoa toimivalle johdolle ja ylimmälle hallintoelimelle ja jonka ansiosta toimiva johto ja/tai ylin hallintoelin voi arvioida ja seurata, noudatetaanko yhtiön ICT-riskien vähentämissuunnitelmissa ja -toimenpiteissä hyväksyttyä riskinottohalua ja/tai (mahdollisia) riskinsietorajoja, sekä valvoa olennaisten ICT-riskien muutoksia.

3.3.2 Organisaation hallinta- ja valvontajärjestelmä

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/