3.3 Évaluation des contrôles visant à atténuer les risques significatifs liés aux TIC

Pour évaluer l’exposition résiduelle de l’établissement aux risques liés aux TIC, les autorités compétentes devraient examiner comment l’établissement détecte, surveille, évalue et atténue les risques significatifs détectés par les autorités compétentes lors de l’évaluation décrite ci-dessus.

À cette fin, pour les risques significatifs liés aux TIC détectés, les autorités compétentes devraient examiner les éléments suivants:

• a. politique et processus de gestion des risques liés aux TIC et seuils de tolérance aux risques;
• b. cadre de gestion organisationnelle et de surveillance;
• c. étendue et constatations des audits internes; et
• d. contrôles des risques liés aux TIC qui sont spécifiques au risque significatif lié aux TIC détecté.

L’évaluation devrait tenir compte des résultats de l’analyse du cadre général de gestion des risques et de contrôle interne visé au titre 5 des orientations de l’ABE sur le SREP, ainsi que de la gouvernance et de la stratégie de l’établissement visées au titre 2 des présentes orientations, car la détection de lacunes significatives dans ces domaines peut influencer la capacité de l’établissement à gérer et à atténuer son exposition aux risques liés aux TIC. Le cas échéant, les autorités compétentes devraient également utiliser les sources d’informations évoquées au paragraphe 37 des présentes orientations.

Les autorités compétentes devraient suivre les étapes d’évaluation suivantes d’une manière proportionnée à la nature, à l’échelle et à la complexité des activités de l’établissement et en appliquant un contrôle prudentiel adapté au profil de risque lié aux TIC de l’établissement.

3.3.1 Politique et processus de gestion du risque lié aux TIC et seuils de tolérance

Les autorités compétentes devraient examiner si l’établissement dispose de politiques, de processus et de seuils de tolérance appropriés pour les risques significatifs liés aux TIC détectés. Ceux-ci peuvent faire partie du cadre de gestion du risque opérationnel ou d’un document distinct. Lors de cette évaluation, les autorités compétentes devraient examiner si :

• a. la politique de gestion du risque est formalisée et approuvée par l’organe de direction et contient des orientations suffisantes sur l’appétit pour le risque lié aux TIC de l’établissement et sur les principaux objectifs de gestion du risque lié aux TIC poursuivis et/ou sur les seuils de tolérance appliqués au risque lié aux TIC. La politique applicable de gestion du risque lié aux TIC devrait également être notifiée à toutes les parties prenantes concernées;
• b. la politique applicable couvre tous les éléments importants pour la gestion des risques significatifs liés aux TIC détectés;
• c. l’établissement a mis en place un processus et des procédures sous-jacentes pour la détection (par exemple, les «auto-évaluations du risque et des mécanismes de maîtrise», l’analyse des scénarios de risque) et le suivi des risques significatifs liés aux TIC concernés; et
• d. l’établissement dispose d’un système de notification des risques liés aux TIC qui fournisse des informations en temps utile à la direction générale et à l’organe de direction et qui permette à la direction générale et/ou à l’organe de direction d’évaluer et de surveiller si les plans et les mesures pris par l’établissement pour atténuer les risques liés aux TIC sont cohérents avec l’appétit pour le risque et/ou les seuils de tolérance approuvés (le cas échéant) et de surveiller les changements de risques significatifs liés aux TIC. 3.3.2 Cadre de gestion organisationnelle et de surveillance

Les autorités compétentes devraient évaluer la manière dont les rôles et les responsabilités applicables en matière de gestion des risques sont intégrés dans l’organisation interne pour gérer et surveiller les risques significatifs liés aux TIC détectés. À cet égard, les autorités compétentes devraient évaluer:

• a. si l’établissement a prévu des rôles et des responsabilités clairs pour la détection, l’évaluation, le suivi, l’atténuation, la déclaration et la surveillance du risque significatif lié aux TIC concerné;
• b. si les responsabilités et les rôles concernant le risque sont clairement notifiés, attribués et intégrés dans les secteurs (par exemple les lignes d’activité, l’informatique) et les processus concernés de l’organisation, notamment les rôles et responsabilités pour la collecte et le regroupement des informations sur les risques et leur déclaration à la direction générale et/ou à l’organe de direction;
• c. si les activités de gestion du risque lié aux TIC sont réalisées au moyen de ressources humaines et techniques suffisantes et à la hauteur de la mission. Pour évaluer la crédibilité des plans d’atténuation des risques applicables, les autorités compétentes devraient également évaluer si l’établissement a alloué des budgets suffisants et/ou d’autres ressources requises pour leur mise en œuvre;
• d. si l’organe de direction apporte un suivi et une réponse adéquats aux constatations importantes des fonctions de contrôle indépendant concernant le(s) risque(s) lié(s) aux TIC, en tenant compte de la délégation éventuelle de certains aspects à un comité, le cas échéant; et
• e. si les exceptions aux règlements et aux politiques applicables en matière de TIC sont enregistrées et font l’objet d’un contrôle et de rapports documentés par la fonction de contrôle indépendant en mettant l’accent sur les risques connexes.

3.3.3 Étendue et constatations des audits internes

Les autorités compétentes devraient évaluer si la fonction d’audit interne est efficace en ce qui concerne l’audit du cadre de contrôle du risque lié aux TIC applicable en examinant si :

• a. l’audit du cadre de contrôle du risque lié aux TIC respecte la qualité, le niveau de détail et la fréquence requis et est proportionnel à la taille, aux activités et au profil de risque lié aux TIC de l’établissement;
• b. le plan d’audit comprend des audits des risques essentiels liés aux TIC détectés par l’établissement;
• c. les constatations importantes de l’audit des TIC, notamment les mesures convenues, sont signalées à l’organe de direction; et
• d. les constatations des audits des TIC, notamment les mesures convenues, font l’objet d’un suivi et de rapports d’avancement examinés périodiquement par la direction générale et/ou le comité d’audit. 3.3.4 Contrôles des risques liés aux TIC qui sont spécifiques aux risques significatifs liés aux TIC détectés

En ce qui concerne les risques significatifs liés aux TIC détectés, les autorités compétentes devraient évaluer si l’établissement dispose de contrôles spécifiques pour y faire face. Les sections suivantes fournissent une liste non exhaustive des contrôles spécifiques à envisager lors de l’évaluation des risques significatifs détectés visés au point 3.2.3 qui ont été cartographiés dans les catégories de risque lié aux TIC suivantes:

• a. risques pour la disponibilité et la continuité des TIC;
• b. risques pour la sécurité des TIC;
• c. risques liés au changement des TIC;
• d. risques pour l’intégrité des données TIC;
• e. risque lié à l’externalisation des TIC.
• (a) Contrôles visant à gérer les risques significatifs pour la disponibilité et la continuité des TIC

En plus de vérifier les exigences visées dans les orientations de l’ABE sur le SREP (paragraphes 279 à 281), les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre approprié pour détecter, comprendre, mesurer et atténuer les risques pour la disponibilité et la continuité des TIC.

Pour cette évaluation, les autorités compétentes devraient notamment examiner si le cadre:

• a. recense les processus de TIC essentiels et les systèmes de TIC sous-jacents liés et qui devraient faire partie des programmes de résilience et de continuité de l’entreprise avec:
• i. une analyse complète des dépendances entre les processus opérationnels clés et les systèmes sous-jacents;
• ii. des objectifs de rétablissement pour les systèmes de TIC sous-jacents (généralement déterminés par l’entreprise et/ou la réglementation en matière de RTO et de RPO);
• iii. une planification d’urgence appropriée pour permettre la disponibilité, la continuité et le rétablissement des systèmes et services de TIC essentiels afin de réduire les perturbations des opérations de l’établissement dans un délai raisonnable;
• b. tient compte de la résilience de l’entreprise, prévoit des politiques et des normes de continuité des activités et des contrôles opérationnels qui incluent:
• i. des mesures visant à éviter qu’un seul scénario, incident ou catastrophe ait une incidence à la fois sur les systèmes de production et sur les systèmes de rétablissement des TIC;
• ii. des procédures de sauvegarde et de rétablissement du système de TIC pour les logiciels et les données essentiels, qui garantissent que ces sauvegardes sont stockées dans un lieu sécurisé et suffisamment éloigné, de sorte qu’un incident ou une catastrophe ne puisse pas détruire ou corrompre ces données essentielles;
• iii. des solutions de surveillance pour détecter en temps utile les incidents portant atteinte à la disponibilité ou la continuité des TIC;
• iv. un processus documenté de gestion et de remontée d’informations relatives aux incidents, qui fournisse également des orientations sur les différents rôles et responsabilités relatifs à la gestion et à la remontée des informations relatives aux incidents aux membres du ou des comités de crise et à la chaîne de commandement en cas d’urgence;
• v. des mesures physiques visant à protéger l’infrastructure essentielle des TIC de l’établissement (par exemple les centres de données) contre les risques environnementaux (par exemple les inondations ou d’autres catastrophes naturelles) et à assurer un environnement d’exploitation approprié pour les systèmes de TIC (par exemple la climatisation);
• vi. des processus, des rôles et des responsabilités afin de garantir que les systèmes et services de TIC externalisés soient également couverts par des solutions et des plans adéquats de résilience et de continuité de l’entreprise;
• vii. des solutions de planification et de suivi des performance et des capacités des TIC pour les systèmes et services de TIC essentiels avec des exigences de disponibilité définies, de façon à détecter en temps utile les problèmes importants de performance et de capacité;
• viii. des solutions pour protéger les activités ou les services essentiels liés à l’internet (par exemple les services bancaires électroniques), lorsque cela est approprié, contre le déni de service et d’autres cyberattaques visant à empêcher ou à perturber l’accès à ces activités et services.
• c. teste des solutions de disponibilité et de continuité des TIC contre un certain nombre de scénarios réalistes, notamment les cyberattaques, les tests de commutation et les tests de sauvegarde pour les logiciels et les données essentiels qui:
• i. soient planifiées, formalisés et documentés, et qui prévoient que les résultats des tests seront utilisés pour renforcer l’efficacité des solutions de disponibilité et de continuité des TIC;
• ii. associent des parties prenantes et des fonctions au sein de l’organisation, telles que la direction des lignes d’activité, notamment les équipes responsables de la continuité des activités, des incidents et des interventions en cas de crise, ainsi que des parties prenantes externes concernées dans l’écosystème;
• iii. associent de manière appropriée l’organe de direction et la direction générale (par exemple dans le cadre d’équipes de gestion de crise) et les informent des résultats des tests.
• (b) Contrôles visant à gérer les risques significatifs pour la sécurité des TIC

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre, mesurer et atténuer les risques pour la sécurité des TIC. Lors de cette évaluation, les autorités compétentes devraient notamment examiner si ce cadre prévoit:

• a. des rôles et des responsabilités clairement définis concernant:
• i. la (les) personne(s) et/ou les comités qui sont responsables de la gestion quotidienne de la sécurité des TIC et de l’élaboration des politiques générales de sécurité des TIC, ou qui doivent en rendre compte, en prêtant attention au besoin d’indépendance de ces personnes ou comités;
• ii. la conception, la mise en œuvre, la gestion et le suivi des contrôles de sécurité des TIC;
• iii. la protection des systèmes et des services de TIC essentiels en adoptant, par exemple, un processus d’évaluation de la vulnérabilité, une gestion des correctifs logiciels, une protection des points de terminaison (par exemple contre les virus malveillants), des outils de détection et de prévention des intrusions;
• iv. la surveillance, la classification et la gestion des incidents de sécurité des TIC externes ou internes, notamment la réaction face aux incidents ainsi que le redémarrage et le rétablissement des systèmes et des services de TIC;
• v. les évaluations régulières et préventives des menaces pour maintenir des contrôles de sécurité appropriés;
• b. une politique de sécurité des TIC qui prend en considération les normes et les principes de sécurité des TIC internationalement reconnus et, le cas échéant, y adhère (par exemple le «principe du moindre privilège», qui consiste à limiter l’accès au niveau minimal qui permettra un fonctionnement normal de la gestion des droits d’accès, et le principe de la «défense en profondeur», qui consiste à concevoir une architecture de sécurité avec des mécanismes de sécurité sur plusieurs niveaux pour augmenter la sécurité du système dans son ensemble );
• c. un processus visant à recenser les systèmes et les services de TIC et les exigences de sécurité proportionnelles qui reflètent les éventuels risques de fraude et/ou mauvais usages et/ou abus de données confidentielles ainsi que les attentes de sécurité documentées à respecter pour ces systèmes, services et données TIC recensés, alignés sur la tolérance au risque de l’établissement et surveillés pour une mise en œuvre correcte;
• d. un processus documenté de gestion et de remontée d’informations relatives aux incidents de sécurité, qui fournit des orientations sur les différents rôles et responsabilités relatifs à la gestion et à la remontée des informations relatives aux incidents, aux membres du ou des comités de crise et à la chaîne de commandement en cas d’urgence pour la sécurité;
• e. l’enregistrement des activités des utilisateurs et des administrateurs pour permettre un suivi efficace et la détection en temps utile des activités non autorisées ainsi qu’une intervention rapide face à de telles activités; pour mener des enquêtes techniques sur les incidents de sécurité ou y participer. L’établissement devrait avoir mis en place des politiques d’enregistrement qui définissent les types de journaux appropriés à garder et leur période de conservation;
• f. des campagnes ou des initiatives de sensibilisation et d’information pour informer tous les niveaux de l’établissement sur l’utilisation sans risque et la protection des systèmes de TIC de l’établissement et les principaux risques liés à la sécurité des TIC (et autres) dont ils devraient avoir connaissance, en particulier en ce qui concerne les menaces cybernétiques existantes et évolutives (par exemple les virus informatiques, les éventuels abus ou attaques internes ou externes, les cyberattaques), et leur rôle dans l’atténuation des atteintes à la sécurité;
• g. des mesures de sécurité physique adéquates (par exemple vidéosurveillance, alarme antieffraction, portes de sécurité) pour empêcher l’accès physique non autorisé aux systèmes de TIC essentiels et sensibles (par exemple les centres de données);
• h. des mesures visant à protéger les systèmes de TIC contre les attaques perpétrées depuis l’internet (cyberattaques) ou d’autres réseaux externes (par exemple, les connexions télécom traditionnelles ou les connexions avec des partenaires fiables). Les autorités compétentes devraient examiner si le cadre de l’établissement prévoit:
• i. un processus et des solutions pour garder un inventaire complet et actualisé et une vue d’ensemble de tous les points de connexion du réseau offrant un accès vers l’extérieur (par exemple, les sites internet, les applications internet, le wifi, l’accès à distance) par lesquels des tiers pourraient entrer dans les systèmes internes des TIC;
• ii. des mesures de sécurité soigneusement gérées et étroitement surveillées (par exemple pare-feu, serveurs proxy, relais de courriers électroniques, antivirus et scanners de contenu) pour sécuriser le trafic entrant et sortant sur le réseau (par exemple le courrier électronique) et les connexions réseau externes par lesquelles des tiers pourraient entrer dans les systèmes internes des TIC;
• iii. des processus et des solutions pour sécuriser les sites web et les applications qui peuvent être directement attaqués depuis l’internet et/ou de l’extérieur, qui peuvent servir de point d’entrée dans les systèmes internes des TIC. En général, cela comprend une combinaison de pratiques reconnues de développement sécurisé, de durcissement du système de TIC et d’examen des points faibles et/ou la mise en œuvre de solutions de sécurité supplémentaires, comme par exemple les pare-feu d’applications, les systèmes de détection des intrusions (IDS) ou de prévention des intrusions (IPS);
• iv. des tests périodiques d’attaques contre la sécurité pour évaluer l’efficacité des mesures et des processus de sécurité des TIC externes et internes mis en œuvre. Ces tests devraient être effectués par du personnel et/ou des experts externes possédant les connaissances nécessaires et leurs résultats et conclusions être documentés et rapportés à la direction générale et/ou à l’organe de direction. Lorsque cela est nécessaire l’établissement devrait tirer des enseignements de ces tests afin d’améliorer davantage les contrôles et les processus de sécurité et/ou d’obtenir une meilleure assurance de leur efficacité.
• (c) Contrôles visant à gérer les risques significatifs liés aux changements des TIC

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre, mesurer et atténuer les risques liés aux changements des TIC, proportionnel à la nature, à l’échelle et à la complexité des activités de l’établissement ainsi qu’au profil de risque lié aux TIC de l’établissement. Le cadre de l’établissement doit couvrir les risques liés au développement, au test et à l’approbation des changements intervenus dans les systèmes de TIC, notamment le développement ou la modification de logiciels avant leur migration vers l’environnement de production, et assurer une gestion adéquate du cycle de vie des TIC. Lors de cette évaluation, les autorités compétentes devraient notamment examiner si ce cadre prévoit:

• a. des processus documentés pour la gestion et le contrôle des changements apportés aux systèmes de TIC (par exemple la configuration et la gestion des correctifs) et des données (par exemple la correction des erreurs ou les corrections de données), assurant une gestion adéquate des risques liés aux TIC lors des changements importants des TIC susceptibles d’avoir une incidence significative sur le profil de risque ou l’exposition au risque de l’établissement;
• b. un cahier des charges concernant la séparation des tâches requise pendant les différentes phases des processus de changement de TIC mis en œuvre (par exemple la conception et le développement de solutions, le test et l’approbation de nouveaux logiciels et/ou des changements de logiciels, la migration et la mise en œuvre dans l’environnement de production et la correction des bogues), avec un accent particulier sur les solutions mises en œuvre et la séparation des tâches établie pour gérer et contrôler les changements apportés aux systèmes et données TIC de production par le personnel responsable des TIC (par exemple les développeurs, les administrateurs du système des TIC, les administrateurs des bases de données) ou par toute autre partie (par exemple les utilisateurs commerciaux, les prestataires de services);
• c. des environnements de test qui ressemblent adéquatement les environnements de production;
• d. un inventaire des ressources des applications et des systèmes de TIC existants dans l’environnement de production, ainsi que l’environnement de test et de développement, de sorte que les changements requis (par exemple les mises à jour ou mises à niveau de versions, correctifs de systèmes, modifications de la configuration) puissent être correctement gérés, mis en œuvre et surveillés pour les systèmes de TIC concernés;
• e. un processus de suivi et de gestion du cycle de vie des systèmes de TIC utilisés, afin de garantir qu’ils continuent de répondre aux exigences réelles en matière de gestion des risques et d’activités et de veiller à ce que les solutions et les systèmes de TIC utilisés soient toujours pris en charge par leurs fournisseurs; et que ce processus soit assorti de procédures appropriées de cycle de vie du développement logiciel (SDLC);
• f. un système de contrôle du code source des logiciels et des procédures appropriées pour empêcher les modifications non autorisées du code source du logiciel développé en interne;
• g. un processus visant à effectuer un examen de la sécurité et de la vulnérabilité des systèmes de TIC et des logiciels nouveaux ou ayant subi des modifications significatives, avant de les rendre disponibles dans l’environnement de production et de les exposer à d’éventuelles cyberattaques;
• h. un processus et des solutions pour empêcher la divulgation non autorisée ou involontaire de données confidentielles lors du remplacement, de l’archivage, de la mise au rebut ou de la destruction des systèmes de TIC;
• i. un processus indépendant de contrôle et de validation pour réduire les risques d’erreurs humaines lors des modifications des systèmes de TIC susceptibles d’avoir un effet négatif important sur la disponibilité, la continuité ou la sécurité de l’établissement (par exemple les changements importants à la configuration du pare-feu) ou sur la sécurité de l’établissement (par exemple les changements apportés aux pare-feu).
• (d) Contrôles visant à gérer les risques significatifs pour l’intégrité des données TIC

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre, mesurer et atténuer le risque pour l’intégrité des données TIC, proportionnel à la nature, à l’échelle et à la complexité des activités de l’établissement ainsi qu’au profil de risque lié aux TIC de l’établissement. Le cadre de l’établissement devrait tenir compte des risques associés à la préservation de l’intégrité des données stockées et traitées par les systèmes de TIC. Lors de cette évaluation, les autorités compétentes devraient notamment examiner si le cadre prévoit:

• a. une politique qui définit les rôles et les responsabilités pour gérer l’intégrité des données dans les systèmes de TIC (par exemple un architecte de données, des délégués aux données⁶ , des dépositaires de données⁷ , des propriétaires/gestionnaires de données⁸ ) et fournit des orientations sur les données qui sont essentielles du point de vue de l’intégrité des données et qui devraient faire l’objet de contrôles spécifiques des TIC (par exemple des contrôles automatiques de validation des entrées, des contrôles de transfert de données, des rapprochements, etc.) ou d’examens (par exemple une vérification de la compatibilité avec l’architecture des données) dans les différentes phases du cycle de vie des données TIC;
• b. une architecture des données documentée, un modèle et/ou un dictionnaire de données qui a été validé par les parties prenantes concernées responsables des activités et de l’informatique pour favoriser la cohérence nécessaire des données dans tous les systèmes de TIC et pour veiller à ce que l’architecture des données, le modèle et/ou le dictionnaire de données restent alignés sur les besoins de l’entreprise et les besoins en matière de gestion des risques;
• c. une stratégie concernant l’utilisation autorisée du End-User Computing (EUC), en particulier en ce qui concerne l’identification, l’enregistrement et la documentation de solutions EUC importantes (par exemple lors du traitement de données importantes) et les niveaux de sécurité attendus pour empêcher des modifications non autorisées, à la fois dans l’outil lui-même, ainsi que dans les données stockées dans celui-ci;
• d. des processus documentés de traitement des exceptions pour résoudre les problèmes d’intégrité des données TIC observés, en fonction de leur importance et de leur sensibilité.

⁶ Un délégué aux données est responsable du traitement et de l’utilisation des données.

⁷ Un dépositaire de données est responsable de la conservation, du transport et du stockage des données en toute sécurité.

⁸ Un gestionnaire de données est responsable de la gestion et de l’adéquation des éléments de données – à la fois du contenu et des métadonnées.

Pour les établissements sous contrôle qui relèvent des «Principes aux fins de l’agrégation des données sur les risques et de la notification des risques» du Comité de Bâle⁹ , les autorités compétentes devraient contrôler l’analyse des risques par les établissements de leurs pratiques de notification des risques et de leurs capacités d’agrégation des données par rapport aux principes et à la documentation préparée à ce sujet, en prenant en considération le délai de mise en œuvre et les dispositions transitoires prévus dans ces principes.

• (e) Contrôles visant à gérer les risques significatifs liés à l’externalisation des TIC

⁹ Comité de Bâle sur le contrôle bancaire, «Principes aux fins de l’agrégation des données sur les risques et de la notification des risques», janvier 2013, accessible à l’adresse suivante: http://www.bis.org/publ/bcbs239.pdf.

Les autorités compétentes devraient évaluer si la stratégie d’externalisation de l’établissement, répondant aux exigences énoncées dans les orientations du CECB relatives à l’externalisation (2006) et dans la lignée de l’exigence énoncée au paragraphe 85, point d), des orientations de l’ABE sur le SREP, s’applique de manière adéquate à l’externalisation des TIC, y compris à l’externalisation intragroupe (fourniture de services de TIC au sein du groupe). Lors de l’évaluation des risques d’externalisation des TIC, les autorités compétentes devraient prendre en considération le fait que ces risques peuvent également être couverts dans le cadre de l’évaluation des risques opérationnels inhérents visés au paragraphe 240, point j), des orientations de l’ABE sur le SREP afin d’éviter toute duplication du travail et tout double comptage.

En particulier, les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre et mesurer le risque d’externalisation des TIC et, en particulier, d’un environnement de contrôle pour atténuer les risques liés aux services de TIC significatifs externalisés , qui sont proportionnels à la taille, aux activités et au profil de risque lié aux TIC de l’établissement et comprennent:

• a. une évaluation de l’incidence de l’externalisation des TIC sur la gestion des risques de l’établissement liée au recours à des prestataires de services (par exemple les prestataires de services dans le nuage) et à leurs services pendant le processus de passation de marché, qui est documentée et prise en considération par la direction générale ou l’organe de direction avant de décider d’externaliser les services ou non. L’établissement devrait examiner les politiques de gestion des risques liés aux TIC ainsi que les contrôles et l’environnement de contrôle des TIC du prestataire de services afin de s’assurer qu’ils respectent les objectifs internes de gestion des risques et l’appétit pour le risque de l’établissement. Cet examen devrait être périodiquement actualisé au cours de la période d’externalisation contractuelle, en tenant compte des caractéristiques des services externalisés;
• b. un suivi des risques liés aux TIC associés aux services externalisés pendant la période d’externalisation contractuelle dans le cadre de la gestion des risques de l’établissement, qui alimente les notifications de l’établissement sur sa gestion des risques liés aux TIC (par exemple les rapports sur la continuité des activités, les rapports de sécurité);
• c. un suivi et une comparaison des niveaux de service reçus avec les niveaux de service contractuellement convenus qui devraient faire partie du contrat d’externalisation ou de l’accord sur le niveau de service (ANS); et
• d. du personnel, des ressources et des compétences nécessaires pour surveiller et gérer les risques liés aux TIC associés aux services externalisés.