39. Lors de l’examen du profil de risque lié aux TIC de l’établissement, les autorités compétentes …

Lors de l’examen du profil de risque lié aux TIC de l’établissement, les autorités compétentes devraient prendre en considération toutes les informations pertinentes sur les expositions aux risques liés aux TIC de l’établissement, notamment les informations visées au paragraphe 37 et les lacunes ou faiblesses significatives constatées dans l’organisation des TIC et les mécanismes de maîtrise du risque dans l’ensemble de l’établissement décrits au titre 2 des présentes orientations, et, le cas échéant, examiner ces informations de manière proportionnée. Dans le cadre de cet examen, les autorités compétentes devraient prendre en considération:

• a. l’incidence potentielle d’une perturbation importante des systèmes de TIC de l’établissement sur le système financier, soit au niveau national, soit au niveau international;
• b. le fait de savoir si l’établissement peut être exposé à des risques pour la sécurité des TIC ou à des risques pour la disponibilité et la continuité des TIC s’il est tributaire d’internet, du recours important à des solutions innovantes de TIC ou d’autres canaux de distribution économiques qui peuvent en faire une cible privilégiée de cyberattaques;
• c. le fait de savoir si l’établissement pourrait être plus exposé aux risques pour la sécurité des TIC, aux risques pour la disponibilité et la continuité des TIC, aux risques pour l’intégrité des données des TIC ou aux risques liés au changement des TIC en raison de la complexité (par exemple à la suite de fusions ou d’acquisitions) ou de l’obsolescence de ses systèmes de TIC;
• d. le fait de savoir si l’établissement apporte des changements significatifs dans ses systèmes de TIC et/ou la fonction TIC (par exemple en raison de fusions, d’acquisitions, de cessions ou de remplacement de ses systèmes principaux de TIC), ce qui peut avoir une incidence négative sur la stabilité ou le bon fonctionnement des systèmes de TIC et entraîner des risques significatifs pour la disponibilité et la continuité des TIC, des risques pour la sécurité des TIC, des risques liés au changement des TIC ou des risques liés à l’intégrité des données TIC;
• e. le fait de savoir si l’établissement a externalisé des services de TIC ou des systèmes de TIC à l’intérieur ou à l’extérieur du groupe, ce qui pourrait l’exposer à des risques significatifs liés à l’externalisation des TIC;
• f. le fait de savoir si l’établissement prend des mesures radicales pour réduire le coût des TIC, ce qui pourrait entraîner la réduction des investissements, des ressources et de l’expertise nécessaires en matière de TIC et pourrait accroître l’exposition à tous les types de risques liés aux TIC définis dans la taxonomie;
• g. le fait de savoir si l’emplacement des centres d’opérations des TIC ou des centres de données importants (par exemple, régions, pays) risque d’exposer l’établissement à des catastrophes naturelles (par exemple inondations, séismes), à une instabilité politique ou à des conflits du travail et à des désordres civils susceptibles d’entraîner un accroissement significatif des risques pour la disponibilité et la continuité des TIC et des risques pour la sécurité des TIC.

3.2.2 Examen des systèmes et services de TIC essentiels

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/