9.4 Internal control framework

Toimivaltaisten viranomaisten tulisi arvioida, onko toimilupaa hakevalla luottolaitoksella asianmukainen sisäisen valvonnan järjestelmä, joka on yhteismitallinen luottolaitoksen suunnitellun toiminnan, liiketoimintamallin, monimuotoisuuden ja asiaan liittyvien riskien kanssa (esim. asiakassuhteen aloittaminen sähköisesti, kyberturvallisuutta koskeva suojelu ja järjestelyt). Toimivaltaisten viranomaisten tulisi vakuuttua osoitettujen henkilöresurssien riittävyydestä sekä kokoaikaisten työntekijöiden määrän että pätevyyden osalta, järjestelmien asianmukaisuudesta ja tehtävien suorittamisen tuen määrärahoista.

Toimivaltaisten viranomaisten tulisi arvioida hakemusasiakirjat ja vakuuttua siitä, että tehtävien ja vastuiden jakamisen ansiosta ylin hallintoelin tuntee täysin luottolaitoksensa rakenteen⁴⁹ ja ”varmistaa, että valvontatoiminnot ovat riippumattomia niistä liiketoiminta-alueista, joita ne valvovat, että tehtävät pidetään asianmukaisesti erillään ja että niillä on käytössään tehtäviensä tehokkaaseen suorittamiseen tarvittavat taloudelliset resurssit, työvoima ja toimivalta. Raportointilinjojen ja tehtävienjaon tulee olla selkeitä, tarkasti määriteltyjä, yhdenmukaisia, täytäntöönpantavia ja asianmukaisesti dokumentoituja, erityisesti laitoksen keskeisistä toiminnoista vastaavien henkilöiden välillä.”⁵⁰

⁴⁹ Hallinnosta ja ohjauksesta annettujen EPV:n ohjeiden 71 kohta.

⁵⁰ Hallinnosta ja ohjauksesta annettujen EPV:n ohjeiden 68 kohta.

Toimivaltaisten viranomaisten tulisi saada selkeä näkemys siitä, että sisäisen valvonnan järjestelmässä käsitellään kaikkia laitoksen osa-alueita ja että se perustuu riskien käsittelyä ja hallintaa koskevien toimintojen määrittämiseen liittyvän puolustusmallin kolmeen linjaan.

Tätä varten toimivaltaisten viranomaisten olisi todennettava, että käytössä on järjestelyjä, joilla voidaan varmistaa, että liiketoiminta- ja tukiyksiköt, jotka ovat ensimmäinen puolustuslinja, vastaavat ensisijaisesti niiden riskien tunnistamisesta ja hallinnasta, joita niille aiheutuu niiden toimien suorittamisessa. Ne vastaavat myös sellaisten asianmukaisten prosessien ja tarkastusten luomisesta ja ylläpitämisestä, joilla varmistetaan, että kyseiset riskit analysoidaan ja mitataan, niitä seurataan, niistä ilmoitetaan asianmukaisesti ja ne pidetään luottolaitoksen riskinottohalun rajoissa, ja ne ovat sisäisten ja ulkoisten sääntelyvaatimusten mukaisia.

Riskienhallintatoiminto ja säännösten noudattamista valvova toiminto, jotka ovat toinen puolustuslinja, muodostavat yhdessä sisäisen valvontatoiminnon kanssa, joka on kolmas puolustuslinja, sisäiset valvontatoiminnot sisäisen valvonnan järjestelmässä. Toimivaltaisten viranomaisten olisi todennettava toimintojen perustaminen ja otettava siinä huomioon 17– 21 kohdassa esitetyt suhteellisuusperusteet. Niiden olisi myös todennettava, että näille toiminnoille annetaan asianmukainen ja riittävä toimivalta, laajuus ja suora pääsy ylimpään hallintoelimeen niiden tehtävän suorittamiseksi.

Jotta voidaan varmistaa, että sisäiset valvontatoiminnot noudattavat riippumattomuusvaatimuksia⁵¹ , toimivaltaisten viranomaisten olisi todennettava hakemusasiakirjojen perusteella, että suunnitelmien mukaan

• (a) valvontatoimintojen henkilöstö ei hoida operatiivisia tehtäviä, joita valvontatoiminnot seuraavat ja valvovat
• (b) valvontatoiminnot on organisaatiossa erotettu toimista, joiden seuraaminen ja valvonta on annettu niiden tehtäväksi
• (c) huolimatta laitoksen ylimmän hallintoelimen jäsenten kokonaisvastuusta sisäisen valvontatoiminnon päällikön ei tule olla alaissuhteessa henkilöön, jonka vastuulla on valvontatoiminnon seuraamien ja valvomien toimien johtaminen
• (d) valvontatoimintojen henkilöstön palkkaus ei saa olla sidoksissa niiden toimien tulokseen, joita sisäinen valvonta seuraa ja valvoo, eikä sen yleensäkään pidä olla omiaan heikentämään henkilöstön objektiivisuutta.

⁵¹ Ks. hallinnosta ja ohjauksesta annettujen EPV:n ohjeiden 175 kohta.

Toimivaltaisten viranomaisten olisi todennettava, että sisäisten valvontatoimintojen johtajat täyttävät seuraavat vaatimukset:

• a) tehtävät tulee perustaa sopivalle organisaatiotasolle, joka tarjoaa valvontatoimintojen johtajalle asianmukaisen toimivallan ja painoarvon velvollisuuksiensa suorittamiseen
• b) johtajien tulee olla riippumattomia valvomistaan liiketoiminta-aloista ja -yksiköistä
• c) johtajien tulee toimia suoraan ylimmän hallintoelimen alaisuudessa ja olla niille tilintekovelvollisia
• d) tarvittaessa johtajilla tulee olla suora yhteys valvontatehtäväänsä hoitavaan ylimpään hallintoelimeen tuodakseen esiin ongelmia ja varoittaakseen valvontatoimintoa tarpeen mukaan, mikäli jotkin tapahtumat vaikuttavat tai saattavat vaikuttaa laitokseen.

Jotta voidaan varmistaa, että sisäisiä valvontatoimintoja voidaan harjoittaa tehokkaasti, toimivaltaisten viranomaisten tulisi vakuuttua siitä, että niille annetaan riittävät määrärahat ja henkilöstö, jolla on asianmukainen pätevyys, ottaen huomioon kohteena olevat toimet ja niiden käytettävissä oleva TVT-järjestelmä ja -tuki.

9.4.2 Riskienhallintatoiminto

Toimivaltaisten viranomaisten tulisi vakuuttua, että luottolaitoksella on sisäisen valvonnan järjestelmän osana kokonaisvaltainen luottolaitoksen laajuinen riskienhallintajärjestelmä, jossa tiedostetaan täysin kaikkien luottolaitoksen riskialtistumisten taloudellinen merkitys.

Toimivaltaisten viranomaisten tulisi vakuuttua siitä, että riskienhallintatoiminto auttaa vakaan riskienhallintajärjestelmän täytäntöönpanossa koko laitoksessa ja että sen tehtävään luottolaitoksessa kuuluu osallistuminen a) riskistrategiaan ja riskejä koskevaan päätöksentekoon; b) olennaisten muutosten arviointiin; c) riskien tunnistamiseen, mittaamiseen, arviointiin, hallintaan, lieventämiseen, seurantaan ja niistä raportointiin; d) riskinottohalun tai rajojen rikkomisten arviointiin ja korjaustoimien suositteluun. Tätä varten toimivaltaisten viranomaisten olisi myös tarkastettava ja arvioitava kyseisten riskien hallintaa koskevan strategian luonnos, joka sisältää riskinsietokykyä ja riskinottohalua koskevan lausunnon sekä toimenpiteet, joilla arvioitu riski sovitetaan yhteen riskinottohalun kanssa.

Toimivaltaisten viranomaisten arvioinnissa, joka koskee riskienhallintatoiminnon tehtävää riskistrategiassa ja päätöksenteossa, olisi pyrittävä todentamaan, että hakemuksen mukaan riskienhallintatoiminnon on määrä osallistua aktiivisesti varhaisessa vaiheessa jatkuvasti luottolaitoksen riskistrategian laatimiseen, sen varmistamiseen, että luottolaitoksella on käytössä tehokkaat riskienhallintaprosessit, sekä kaikkien asiaankuuluvien riskeihin liittyvien tietojen antamiseen ylimmälle hallintoelimelle, jotta se voi asettaa luottolaitoksen riskinottohalun tason. Toimivaltaisten viranomaisten olisi varmistettava, että riskienhallintotoiminnon on määrä arvioida riskistrategian ja riskinottohalun luotettavuutta ja kestävyyttä ja että riskinottohalu muunnetaan asianmukaisesti nimenomaisiksi riskirajoiksi, myös liiketoimintayksikköjen tasolla, ja että se on mukana ennen kuin ylin hallintoelin tekee päätöksiä riskistrategioista.

Toimivaltaisten viranomaisten tulisi olennaisten muutosten arvioinnissa riskienhallintatoiminnon aseman osalta todentaa, että riskienhallintatoiminnon on määrä osallistua ennen kuin poikkeuksellisista liiketoimista tehdään päätöksiä, jotta se voi arvioida kyseisten muutosten ja poikkeuksellisten liiketoimien vaikutusta luottolaitoksen yleiseen riskiin ja ilmoittaa havainnoistaan suoraan ylimmälle hallintoelimelle ennen päätöksen tekemistä.

Riskienhallintotoiminnon roolista ylimmän hallintoelimen hyväksymien riskien ja asiaan liittyvien riskikeskittyminen tunnistamisessa, mittaamisessa, seurannassa, vähentämisessä ja niistä ilmoittamisessa toimivaltaisten viranomaisten tulisi varmistaa, että käytössä on käytäntöjä ja menettelyjä ja että riskienhallintatoiminnolla on pääsy kaikkiin liiketoimintalinjoihin ja muihin yksiköihin, jotka voivat tuottaa riskejä.

Riskienhallintatoiminnon tehtävään tulisi myös kuulua riippumaton arviointi riskinottohalun tai riskirajojen ylityksistä (mukaan lukien niiden syiden vahvistaminen sekä oikeudellisen ja taloudellisen selvityksen toteuttaminen riskin sulkemisen, vähentämisen tai suojauksen tosiasiallisista kustannuksista verrattuna sen hyväksymisen potentiaalisiin kustannuksiin). Riskienhallintatoiminnon tulisi olla määrä välittää asianosaisille liiketoimintayksiköille ja ylimmälle hallintoelimelle tietoa sekä antaa suosituksia mahdollisista korjaavista toimenpiteistä. Tätä varten riskienhallintatoiminnon pitäisi voida raportoida suoraan valvontatehtäväänsä hoitavalle ylimmälle hallintoelimelle, kun riskirajan ylitys on olennainen, tämän kuitenkaan rajoittamatta riskienhallintatoiminnon raportointia muille sisäisille toiminnoille ja valiokunnille.

9.4.3 Palkitsemisjärjestelmät

Palkitsemisjärjestelmien osalta toimivaltaisten viranomaisten olisi vakavaraisuusdirektiivin 92 artiklan 2 kohdan aa alakohdan mukaisten sukupuolineutraaliusvaatimusten noudattamisen arvioinnin lisäksi erityisesti todennettava, että niihin työntekijöihin liittyvän politiikan luonnos, joiden ammatillisilla toimilla on olennainen vaikutus luottolaitoksen riskiprofiiliin⁵² on vakavaraisuusdirektiivin 92 artiklan ja palkitsemisjärjestelmiä koskevien EPV:n ohjeiden mukainen.

⁵² Toimitettu toimilupatietoja koskevien teknisten sääntelystandardien mukaisesti.

Niiden pitäisi erityisesti arvioida, a) onko palkitsemisjärjestelmän luonnos laitoksen suunnitellun riskinottohalun, sen liiketoimintastrategian ja sen pitkäaikaisten etujen mukainen; b) suunnitellaanko siinä, että henkilöstö, jolla on olennainen vaikutus laitoksen riskiprofiiliin, määritetään asianmukaisesti vakavaraisuusdirektiivin 92 artiklan 3 kohdan ja 94 artiklan 3 kohdan mukaisesti; c) suunnitellaanko siinä erityisiä palkitsemisvaatimuksia kyseiselle erityishenkilöstölle, muun muassa i) vakavaraisuusdirektiivin 94 artiklan 1 kohdan g alakohdan mukainen palkitsemisen kokonaismäärän kiinteiden ja muuttuvien osien asianmukainen suhde ja ii) vakavaraisuusdirektiivin 94 artiklan 1 kohdan l, m ja n alakohdan mukaiset korvausvälineet, lykkäysjärjestelyt, mukaan lukien riskiperusteiset ehdot ja takaisinperinnät⁵³ .

9.4.4 Säännösten noudattamista valvova toiminto

⁵³ Ottaen erityisesti huomioon vakavaraisuusdirektiivin 94 artiklan 3 ja 4 kohdassa tarkoitetut poikkeukset.

Toimivaltaisten viranomaisten olisi todennettava, että säännösten noudattamista valvovan toiminnon on määrä hallita säännösten noudattamista koskevaa riskiä, antaa ylimmälle hallintoelimelle neuvontaa toimenpiteistä, joihin on ryhdyttävä sovellettavien lakien, sääntöjen, asetusten ja standardien noudattamisen varmistamiseksi ja panna ylimmän hallintoelimen valvonnassa täytäntöön käytäntöjä ja prosesseja, joilla hallitaan säännösten noudattamista koskevia riskejä ja varmistetaan säännösten noudattaminen. Toimivaltaisten viranomaisten olisi todennettava, että säännösten noudattamista valvova toiminto on asianmukainen harjoitettavan liiketoiminnan ja maantieteellisen jakautumisen (esim. eri lainkäyttöalueiden sovellettavien kansallisten lakien noudattaminen, jos toimia suoritetaan rajatylittävästi), riskien ja monimutkaisuuden kannalta näiden ohjeiden 7 kohdan mukaisesti tehdyn liiketoimintamallin ja liiketoimintasuunnitelman arvioinnin mukaisesti.

Säännösten noudattamista valvovan toiminnon tulisi varmistaa, että säännösten noudattamista koskeva valvonta tapahtuu järjestelmällisen ja asianmukaisesti määritellyn säännösten noudattamista koskevan valvontaohjelman mukaisesti ja että säännösten noudattamisen periaatteita noudatetaan. Säännösten noudattamista valvovan toiminnon ja riskienhallintatoiminnon on myös määrä tehdä yhteistyötä ja vaihtaa tarvittaessa tietoja omien tehtäviensä suorittamiseksi.

Toimivaltaisten viranomaisten tulisi myös tarkastaa, että säännösten noudattamista valvovalle toiminnolle annetaan valtuudet varmistaa läheisessä yhteistyössä riskienhallintatoiminnon ja lakiyksikön kanssa, että uudet tuotteet ja menettelyt noudattavat nykyistä lainsäädäntökehystä ja tarpeen mukaan mahdollisia tulevia lainsäädännön, asetusten ja valvontavaatimusten muutoksia.

Toimivaltaisten viranomaisten olisi todennettava, että rahanpesun ja terrorismin rahoituksen torjuntaa koskevien säännösten noudattamista valvova toiminto, jolla on nimenomaiset rahanpesun ja terrorismin torjuntaa koskevat sääntelykäytännöt ja sisäiset käytännöt, on määrä perustaa joko säännösten noudattamista valvovaan toimintoon tai erilleen siitä.

9.4.5 Rahanpesun ja terrorismin rahoituksen torjuntakäytäntö

Toimivaltaisten viranomaisten olisi todennettava, että toimilupaa hakevan luottolaitoksen toimilupatietoja koskevien teknisten sääntelystandardien 5 artiklan 1 kohdan c alakohdan iii luetelmakohdan mukaisesti toimittamassa rahanpesun ja terrorismin rahoituksen torjuntakäytännössä esitetään katsaus rahanpesunvastaisen direktiiviin 8 artiklan 3 kohdassa esitettyihin keskeisiin toimintaperiaatteisiin ja menettelyihin, jotka otetaan käyttöön rahanpesun ja terrorismin rahoituksen riskin torjumiseksi. Toimivaltaiset viranomaiset ottavat tätä varten huomioon 17–21 kohdassa esitetyt suhteellisuusperusteet.

Toimivaltaisten viranomaisten olisi todennettava, että luonnoksessa käsitellään kaikkia rahanpesunvastaisen direktiivin 8 artiklan 4 kohdassa esitettyjä seikkoja⁵⁴ ja perusteellaan, miten toimilupaa hakeva luottolaitos varmistaa voivansa lieventää ja hallita tehokkaasti rahanpesun ja terrorismin rahoituksen riskejä, joille se altistuu, markkinoillepääsypäivästään lähtien.

9.4.6 Sisäinen tarkastustoiminto

⁵⁴ Siinä todetaan seuraavaa: ”Edellä 3 kohdassa tarkoitettuihin toimintaperiaatteisiin, valvontatoimenpiteisiin ja menettelytapoihin on kuuluttava (a) sisäisten toimintaperiaatteiden, valvontatoimenpiteiden ja menettelytapojen kehittäminen, mukaan luettuina riskinhallintaa koskevat mallimenetelmät, asiakkaan tuntemisvelvollisuus, raportointi, tietojen säilyttäminen, sisäinen valvonta, vaatimustenmukaisuuden hallinta, mukaan lukien vaatimustenmukaisuudesta vastaavan toimihenkilön nimittäminen johdon tasolla, kun se on liiketoiminnan koon ja luonteen perusteella asianmukaista, ja työntekijöiden taustaselvitys; (b) riippumaton tarkastustoiminto, jolla testataan a alakohdassa tarkoitetut sisäiset toimintaperiaatteet, valvontatoimenpiteet ja menettelytavat, kun se on liiketoiminnan koon ja luonteen perusteella asianmukaista.”

Toimivaltaisten viranomaisten tulisi ottaen huomioon 17–21 kohdassa esitetyt suhteellisuusperusteet arvioida toimilupaa hakevan luottolaitoksen perustama riippumaton ja tehokas sisäinen tarkastustoiminto. Toimivaltaisten viranomaisten tulisi saada selkeä näkemys siitä, että sisäisen tarkastuksen toiminto pystyy riskinoton määrään suhteutettua lähestymistapaa noudattaen arvioimaan riippumattomasti luottolaitoksen kaikkien toimien ja yksiköiden, mukaan luettuina ulkoistettujen toimien osalta, miten ne noudattavat laitoksen periaatteita ja menettelyitä ja muita ulkoisia (muita kuin vakavaraisuutta koskevia) vaatimuksia, ja antaa siitä varmistus.

Tätä varten toimivaltaisten viranomaisten tulisi arvioida, suojataanko sisäisen tarkastustoiminnon organisatorista riippumattomuutta ja sisäisten tarkastajien puolueettomuutta suoralla raportoinnilla ylimmälle hallintoelimelle ja onko sillä riittävät resurssit tehtäviensä suorittamiseen. Tätä varten sen on myös varmistettava, että sisäisellä tarkastustoiminnolla on tehtävänsä suorittamiseksi esteetön laitoksen laajuinen pääsy kaikkiin laitoksen rekistereihin, asiakirjoihin, tietoihin ja rakennuksiin.

Toimivaltaisten viranomaisten tulisi myös arvioida sisäisestä tarkastustoiminnosta vähintään seuraavat:

• (a) sisäisen valvonnan järjestelmän asianmukaisuus, myös toimintaperiaatteiden ja menettelyjen riittävyys ja lakisääteisten ja sääntelyyn liittyvien vaatimusten noudattaminen
• (b) ylimmän hallintoelimen hyväksyttäväksi annettavan tarkastussuunnitelman laatiminen vähintään kerran vuodessa vuotuisen sisäisen tarkastuksen valvontatavoitteiden perusteella
• (c) suositusten toimittaminen sen toimia koskevien havaintojen perusteella.

Niiden olisi myös todennettava, että menetelmän ja sisäisen tarkastussuunnitelman kolmea ensimmäistä toimintavuotta koskeva luonnos, myös ulkoistettujen palvelujen tarkastus, on yhdenmukainen organisaatiorakenteen, harjoitettavan liiketoiminnan ja 7 kohdan mukaisesti arvioidusta liiketoimintasuunnitelmasta johtuvan riskiprofiilin kanssa.

9.4.7 Operatiivinen sietokyky ja toiminnan jatkuvuutta koskeva toimintaperiaate ja suunnitelma

Toiminnan jatkuvuutta koskevan toimintaperiaatteen ja suunnitelman luonnoksella tulisi varmistaa, että hakijalla on vakaa toiminnan jatkuvuuden hallintasuunnitelma, jolla varmistetaan sen kyky toimia jatkuvasti ja rajoittaa tappioita liiketoiminnan vakavan häiriön tapahtuessa. Sillä tulisi varmistaa, että toiminnan jatkuvuutta koskevaan toimintaperiaatteeseen ja suunnitelmaan sisältyy analyysi tärkeimmistä toiminnan häiriöriskeistä ja katsaus lieventämistoimenpiteistä sekä varmistetta toiminnan jatkuvuutta koskevan suunnitelman säännöllinen testaus.

9.4.8 Tieto- ja viestintätekniikan toimintaperiaate ja järjestelmät

Toimivaltaisten viranomaisten tulisi arvioida, saako luottolaitos tieto- ja viestintätekniikan toimintaperiaatteen avulla luotettavat tieto- ja viestintäjärjestelmät ja pystytäänkö tieto- ja viestintäteknisillä järjestelmillä täysin tukemaan riskitietojen kokoamisvalmiuksia normaaleina aikoina sekä stressin aikana. Toimivaltaisten viranomaisten tulisi erityisesti arvioida, pystyykö luottolaitos vähintäänkin

• (a) tuottamaan tarkkoja ja luotettavia riskitietoja
• (b) keräämään ja kokoamaan kaikki merkittävät riskitiedot koko laitoksesta
• (c) tuottamaan koottuja ja ajantasaisia riskitietoja oikea-aikaisesti
• (d) tuottamaan koottuja riskitietoja ylimmän hallintoelimen tai toimivaltaisten viranomaisten monenlaisiin pyyntöihin vastaamiseksi
• (e) varmistamaan laitoksen kohdennettuja toimia tukevien tieto- ja viestintäjärjestelmien vakaata, luotettavaa ja turvallista toimintaa.

Toimivaltaisten viranomaisten tulisi tieto- ja viestintätekniikka- ja turvallisuusriskin⁵⁵ osalta vakuuttua siitä, että hallintakehyksellä varmistetaan luottolaitosten toimia tukevien tieto- ja viestintäjärjestelmien vakaa, luotettava ja turvallinen toiminta sekä tieto- ja viestintätekniikkariskien asianmukainen ehkäisy, seuranta ja lieventäminen normaaleina aikoina ja stressin aikana. Toimivaltaisten viranomaisten tulisi erityisesti arvioida

• (a) sitä, onko ylimmällä hallintoelimellä yleinen vastuuvelvollisuus sellaisten rahoituslaitosten tieto- ja viestintätekniikan strategian täytäntöönpanon hyväksymisestä ja valvonnasta, joka olisi yhdenmukaistettava rahoituslaitosten yleisen liiketoimintastrategian kanssa
• (b) keskeisten tehtävien ja vastuiden selkeää määritelmää ja osoittamista ja asiaankuuluvia raportointilinjoja, jotta tieto- ja viestintätekniikka- ja turvallisuusriskien hallintajärjestelmä on tehokas, myös asianmukaisten määrärahojen osoittamista, jotta voidaan tukea asianmukaisesti tieto- ja viestintätekniikan operatiivisia tarpeita ja tieto- ja viestintätekniikka- ja turvallisuusriskien hallintaa
• (c) sitä, onko tieto- ja viestintätekniikka- ja turvallisuusriskien hallinta ja valvonta osoitettu riippumattomalle ja puolueettomalle valvontatoiminnolle ja erotettu asianmukaisesti tieto- ja viestintätekniikan operatiivisista prosesseista siten, että se ei vastaa mistään sisäisestä tarkastuksesta, sekä riippumattomalle sisäiselle tarkastustoiminnolle
• (d) järjestelyjä, joilla varmistetaan liiketoimintojen yksilöinti ja vahvistaminen ja niiden ajan tasalla olevan kartoituksen ylläpito, jotta voitaisiin yksilöidä niiden kunkin merkitys ja niiden keskinäiset riippuvuudet tieto- ja viestintätekniikka- sekä turvallisuusriskien osalta
• (e) mikäli tietoja pidetään tieto- ja viestintäteknisissä järjestelmissä, sitä, onko käytössä tietoturvaa koskevat vaatimukset
• (f) tieto- ja viestintätekniikkaan liittyvien riippuvuuksien laajuutta, monimutkaisuutta ja merkitystä, jos suunnitteilla on tieto- ja viestintäteknisten palvelujen ja jonkin tieto- ja viestintäteknisen järjestelmän toiminnan ulkoistaminen – myös konsernin yhteisöille – tai kolmansien osapuolten käyttö kyseisiin tehtäviin ja toimintaan.

⁵⁵ Tieto- ja viestintätekniikka- (ICT) sekä turvallisuusriskien hallinnasta annettujen EPV:n ohjeiden määritelmän mukaan ’tieto- ja viestintätekniikka- ja turvallisuusriskillä’ tarkoitetaan tappion riskiä, joka johtuu salassapitovelvollisuuden rikkomisesta, järjestelmien ja datan eheyden rikkoutumisesta, järjestelmien ja datan sopivuudessa tai saatavuudessa olevista ongelmista tai siitä, että tietotekniikkaa ei pystytä vaihtamaan kohtuullisen ajan kuluessa ja kohtuullisin kustannuksin, kun ympäristö- ja liiketoimintavaatimukset muuttuvat (ts. joustavuus). Tähän kuuluvat turvallisuusriskit, jotka johtuvat riittämättömistä tai epäonnistuneista sisäisistä prosesseista tai ulkoisista tapahtumista, muun muassa kyberhyökkäyksistä tai riittämättömästä fyysisestä turvallisuudesta.