57. Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour …

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre, mesurer et atténuer le risque pour l’intégrité des données TIC, proportionnel à la nature, à l’échelle et à la complexité des activités de l’établissement ainsi qu’au profil de risque lié aux TIC de l’établissement. Le cadre de l’établissement devrait tenir compte des risques associés à la préservation de l’intégrité des données stockées et traitées par les systèmes de TIC. Lors de cette évaluation, les autorités compétentes devraient notamment examiner si le cadre prévoit:

• a. une politique qui définit les rôles et les responsabilités pour gérer l’intégrité des données dans les systèmes de TIC (par exemple un architecte de données, des délégués aux données⁶ , des dépositaires de données⁷ , des propriétaires/gestionnaires de données⁸ ) et fournit des orientations sur les données qui sont essentielles du point de vue de l’intégrité des données et qui devraient faire l’objet de contrôles spécifiques des TIC (par exemple des contrôles automatiques de validation des entrées, des contrôles de transfert de données, des rapprochements, etc.) ou d’examens (par exemple une vérification de la compatibilité avec l’architecture des données) dans les différentes phases du cycle de vie des données TIC;
• b. une architecture des données documentée, un modèle et/ou un dictionnaire de données qui a été validé par les parties prenantes concernées responsables des activités et de l’informatique pour favoriser la cohérence nécessaire des données dans tous les systèmes de TIC et pour veiller à ce que l’architecture des données, le modèle et/ou le dictionnaire de données restent alignés sur les besoins de l’entreprise et les besoins en matière de gestion des risques;
• c. une stratégie concernant l’utilisation autorisée du End-User Computing (EUC), en particulier en ce qui concerne l’identification, l’enregistrement et la documentation de solutions EUC importantes (par exemple lors du traitement de données importantes) et les niveaux de sécurité attendus pour empêcher des modifications non autorisées, à la fois dans l’outil lui-même, ainsi que dans les données stockées dans celui-ci;
• d. des processus documentés de traitement des exceptions pour résoudre les problèmes d’intégrité des données TIC observés, en fonction de leur importance et de leur sensibilité.

⁶ Un délégué aux données est responsable du traitement et de l’utilisation des données.

⁷ Un dépositaire de données est responsable de la conservation, du transport et du stockage des données en toute sécurité.

⁸ Un gestionnaire de données est responsable de la gestion et de l’adéquation des éléments de données – à la fois du contenu et des métadonnées.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/