2.4 Le risque lié aux TIC dans le cadre de gestion des risques de l’établissement

En évaluant la gestion du risque et les mécanismes internes de maîtrise du risque dans l’ensemble de l’établissement, conformément au titre 5 des orientations de l’ABE sur le SREP, les autorités compétentes devraient se demander si le cadre de gestion des risques et de contrôle interne de l’établissement protège de manière adéquate les systèmes de TIC de l’établissement, c’est-à-dire d’une manière proportionnelle à la taille et aux activités de l’établissement et à son profil de risque lié aux TIC tel que défini au titre 3. Les autorités compétentes devraient en particulier déterminer si:

• a. l’appétit pour le risque et l’ICAAP couvrent les risques liés aux TIC, dans le cadre de la catégorie plus large des risques opérationnels, pour la définition de la stratégie globale en matière de risque et la détermination du capital interne; et si
• b. les risques liés aux TIC relèvent des cadres de gestion du risque et de contrôle interne de l’ensemble de l’établissement.

Les autorités compétentes devraient effectuer l’évaluation définie au point a) ci-dessus en tenant compte à la fois des scénarios attendus et des scénarios défavorables, par exemple des scénarios compris dans le test de résistance spécifique à l’établissement ou dans le test de résistance prudentiel.

En ce qui concerne spécifiquement le point b), les autorités compétentes devraient évaluer si les fonctions indépendantes de contrôle et d’audit interne, telles qu’elles sont détaillées au paragraphe 104, points a) et d), et au paragraphe 105, points a) et c), des orientations de l’ABE sur le SREP, sont appropriées pour assurer un niveau suffisant d’indépendance entre les TIC et les fonctions de contrôle et d’audit, compte tenu de la taille et du profil de risque lié aux TIC de l’établissement.