Titre 1 – Dispositions générales

Les autorités compétentes devraient évaluer les risques liés aux TIC, le dispositif de gouvernance et la stratégie en matière de TIC dans le cadre du SREP en suivant le modèle d’engagement minimal et les critères de proportionnalité indiqués au titre 2 des orientations de l’ABE sur le SREP. Cela signifie en particulier que:

• a. la fréquence de l’évaluation du risque lié aux TIC dépendra du modèle d’engagement minimal correspondant à la catégorie de SREP dont un établissement relève et de son programme de contrôle prudentiel spécifique; et
• b. l’ampleur, le détail et l’intensité de l’évaluation des TIC devraient être proportionnés à la taille, à la structure et à l’environnement opérationnel de l’établissement, ainsi qu’à la nature, à l’échelle et à la complexité de ses activités.

Le principe de proportionnalité s’applique tout au long des présentes orientations à la portée, à la fréquence et à l’intensité de l’engagement et du dialogue prudentiels avec un établissement ainsi qu’aux attentes prudentielles des normes auxquelles l’établissement devrait répondre.

Les autorités compétentes peuvent s’appuyer sur les travaux déjà entrepris par l’établissement ou par l’autorité compétente dans le cadre des évaluations d’autres risques ou éléments du SREP et prendre en considération ces travaux afin de mettre à jour l’évaluation. Plus précisément, lorsqu’elles effectuent les évaluations décrites dans les présentes orientations, les autorités compétentes devraient choisir l’approche et la méthode d’évaluation prudentielle la mieux adaptée et proportionnée à l’établissement et utiliser la documentation disponible en vigueur [par exemple les rapports pertinents et autres documents, les réunions avec les responsables (notamment ceux chargés de la gestion du risque), les résultats des contrôles sur place] pour la prendre en considération dans leur évaluation.

Les autorités compétentes devraient résumer les constatations de leurs évaluations des critères spécifiés dans les présentes orientations et les utiliser pour parvenir à des conclusions sur l’évaluation des éléments du SREP tels qu’ils sont décrits dans les orientations de l’ABE sur le SREP.

En particulier, l’évaluation de la gouvernance et de la stratégie en matière de TIC effectuée conformément au titre 2 des présentes orientations devrait aboutir à des constatations qui sont prises en considération dans le résumé des constatations de l’évaluation de la gouvernance interne et des mécanismes de maîtrise du risque dans l’ensemble de l’établissement (élément SREP visé au titre 5 des orientations de l’ABE sur le SREP), et se traduire dans la notation correspondant à cet élément du SREP. En outre, les autorités compétentes devraient prendre en compte le fait que toute incidence négative majeure de l’évaluation de la stratégie en matière de TIC sur la stratégie d’entreprise de l’établissement et toute inquiétude quant à une éventuelle insuffisance de ressources et de capacités en matière de TIC dans l’établissement pour réaliser et soutenir les grands changements stratégiques prévus devraient être prises en considération dans l’analyse du modèle d’entreprise effectuée conformément au titre 4 des orientations de l’ABE sur le SREP.

Le résultat de l’évaluation du risque lié aux TIC, comme indiqué au titre 3 des présentes orientations, devrait être pris en considération dans les constatations de l’évaluation du risque opérationnel et devrait être considéré comme un facteur influençant la note attribuée, comme il est indiqué au titre 6.4 des orientations de l’ABE sur le SREP.

Il est à noter que, si les autorités compétentes devraient généralement évaluer les sous-catégories de risques dans le cadre des catégories principales (c’est à dire le risque lié aux TIC qui sera évalué dans le cadre du risque opérationnel), elles peuvent également évaluer individuellement les sous-catégories qu’elles jugent significatives. À cette fin, si l’autorité compétente estimait que le risque lié aux TIC est significatif, les présentes orientations fournissent également un tableau de notes (tableau 1) qui devrait être utilisé pour attribuer une note de sous-catégorie distincte pour le risque lié aux TIC en suivant l’approche globale de notation des risques pesant sur le capital définie dans les orientations de l’ABE sur le SREP.

Pour déterminer si le risque lié aux TIC devrait être considéré comme significatif et, par conséquent, la possibilité d’évaluer et de noter ce risque comme une sous-catégorie individuelle de risque opérationnel, les autorités compétentes peuvent utiliser les critères indiqués à la section 6.1 des orientations de l’ABE sur le SREP.

Lors de l’application des présentes orientations, les autorités compétentes devraient, le cas échéant, prendre en considération la liste non exhaustive des sous-catégories de risques liés aux TIC et des scénarios de risque qui est présentée à l’annexe, sachant que l’annexe se concentre sur les risques liés aux TIC susceptibles d’entraîner des pertes présentant un degré élevé de gravité. Les autorités compétentes peuvent exclure certains risques liés aux TIC inclus dans la taxonomie si ces risques ne sont pas pertinents pour leur évaluation. Il est attendu des établissements qu’ils établissent leurs propres taxonomies des risques plutôt que d’utiliser celle qui est présentée en annexe.

Lorsque les présentes orientations sont appliquées aux groupes bancaires transfrontaliers et à leurs entités et qu’un collège des autorités de surveillance a été mis en place, les autorités compétentes concernées devraient, dans le cadre de leur coopération pour l’évaluation du SREP conformément à la section 11.1 des orientations de l’ABE sur le SREP, coordonner autant que possible la portée exacte et détaillée de chaque élément d’information, de manière cohérente pour toutes les entités du groupe.