3.1 Considérations générales

Les autorités compétentes devraient évaluer si l’établissement a correctement recensé, évalué et atténué les risques liés aux TIC auxquels il est exposé. Ce processus devrait faire partie du cadre de gestion du risque opérationnel et être conforme à l’approche applicable aux risques opérationnels.

Les autorités compétentes devraient d’abord déceler les risques significatifs inhérents liés aux TIC auxquels l’établissement est ou pourrait être exposé, puis effectuer une évaluation de l’efficacité du cadre de gestion des risques liés aux TIC, des procédures et des contrôles de l’établissement pour atténuer ces risques. Le résultat de l’évaluation devrait se refléter dans un résumé des constatations qui sert de base à la note du risque opérationnel dans les orientations de l’ABE sur le SREP. Lorsque le risque lié aux TIC est considéré comme significatif et que les autorités compétentes souhaitent lui attribuer une note individuelle, le tableau 1 devrait être utilisé pour lui attribuer une note en tant que sous-risque du risque opérationnel.

Lors de l’évaluation décrite sous le présent titre, les autorités compétentes devraient utiliser toutes les sources d’information disponibles, comme indiqué au paragraphe 127 du titre 6 des orientations de l’ABE sur le SREP, par exemple les activités de gestion des risques de l’établissement, les rapports et les résultats, comme base pour définir leurs priorités d’évaluation prudentielle. Les autorités compétentes devraient également utiliser d’autres sources d’information pour mener cette évaluation, notamment, le cas échéant, les sources suivantes:

• a. auto-évaluations du risque lié aux TIC et des mécanismes de maîtrise (si elles sont fournies dans les informations de l’ICAAP);
• b. les informations de gestion relatives au risque lié aux TIC transmises à l’organe de direction de l’établissement, par exemple les rapports en matière de risque lié aux TIC, qu’ils soient périodiques ou consécutifs à un incident (notamment dans la base de données sur les pertes opérationnelles), les données sur l’exposition au risque lié aux TIC provenant de la fonction de gestion des risques de l’établissement;
• c. les constatations des audits internes et externes liés aux TIC rapportées au comité d’audit de l’établissement.