50. Les autorités compétentes devraient évaluer la manière dont les rôles et les responsabilités …

Les autorités compétentes devraient évaluer la manière dont les rôles et les responsabilités applicables en matière de gestion des risques sont intégrés dans l’organisation interne pour gérer et surveiller les risques significatifs liés aux TIC détectés. À cet égard, les autorités compétentes devraient évaluer:

• a. si l’établissement a prévu des rôles et des responsabilités clairs pour la détection, l’évaluation, le suivi, l’atténuation, la déclaration et la surveillance du risque significatif lié aux TIC concerné;
• b. si les responsabilités et les rôles concernant le risque sont clairement notifiés, attribués et intégrés dans les secteurs (par exemple les lignes d’activité, l’informatique) et les processus concernés de l’organisation, notamment les rôles et responsabilités pour la collecte et le regroupement des informations sur les risques et leur déclaration à la direction générale et/ou à l’organe de direction;
• c. si les activités de gestion du risque lié aux TIC sont réalisées au moyen de ressources humaines et techniques suffisantes et à la hauteur de la mission. Pour évaluer la crédibilité des plans d’atténuation des risques applicables, les autorités compétentes devraient également évaluer si l’établissement a alloué des budgets suffisants et/ou d’autres ressources requises pour leur mise en œuvre;
• d. si l’organe de direction apporte un suivi et une réponse adéquats aux constatations importantes des fonctions de contrôle indépendant concernant le(s) risque(s) lié(s) aux TIC, en tenant compte de la délégation éventuelle de certains aspects à un comité, le cas échéant; et
• e. si les exceptions aux règlements et aux politiques applicables en matière de TIC sont enregistrées et font l’objet d’un contrôle et de rapports documentés par la fonction de contrôle indépendant en mettant l’accent sur les risques connexes.

3.3.3 Étendue et constatations des audits internes

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/