2.1 Principes généraux

Les autorités compétentes devraient évaluer si le cadre général de gouvernance et de contrôle interne de l’établissement couvre correctement les systèmes de TIC et les risques qui y sont liés et si l’organe de direction traite et gère adéquatement ces aspects, les TIC faisant partie intégrante du bon fonctionnement d’un établissement.

Lors de cette évaluation, les autorités compétentes devraient se référer aux exigences et aux normes de bonne gouvernance interne et aux dispositions de maîtrise des risques telles qu’elles sont spécifiées dans les orientations de l’ABE sur la gouvernance interne (GL 44)⁴ et les orientations internationales dans ce domaine, dans la mesure où elles sont applicables aux spécificités des systèmes de TIC et des risques liés aux TIC.

⁴ Orientations de l’ABE sur la gouvernance interne, GL 44, 27 septembre 2011.

Dans le présent titre, l’évaluation ne couvre pas les éléments spécifiques de la gouvernance, de la gestion et de la maîtrise des risques du système de TIC qui sont axés sur la gestion de certains risques liés aux TIC abordés au titre 3 des présentes orientations, mais se concentre sur les domaines suivants:

• a. la stratégie en matière de TIC – si l’établissement dispose d’une stratégie en matière de TIC qui relève d’une bonne gouvernance et est conforme à la stratégie d’entreprise de l’établissement;
• b. la gouvernance interne globale – si les mécanismes généraux de gouvernance interne de l’établissement sont adéquats par rapport aux systèmes de TIC de l’établissement ; et
• c. le risque lié aux TIC dans le cadre de gestion des risques de l’établissement – si le cadre de gestion des risques et de contrôle interne de l’établissement protège adéquatement les systèmes de TIC de l’établissement.

Le point a) visé au paragraphe 22, tout en fournissant des informations sur des éléments de la gouvernance de l’établissement, devrait principalement alimenter l’évaluation du modèle d’entreprise abordé au titre 4 des orientations de l’ABE sur le SREP. Les points b) et c) complètent les évaluations des sujets couverts par le titre 5 des orientations de l’ABE sur le SREP et l’évaluation décrite dans les présentes orientations devrait alimenter les différentes évaluations présentées au titre 5 des orientations de l’ABE sur le SREP.

Le résultat de cette évaluation devrait être pris en considération, quand cela est pertinent, pour évaluer la gestion du risque et les mécanismes de maîtrise du risque visés au titre 3 des présentes orientations.