60. En particulier, les autorités compétentes devraient évaluer si l’établissement dispose d’un …

En particulier, les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre et mesurer le risque d’externalisation des TIC et, en particulier, d’un environnement de contrôle pour atténuer les risques liés aux services de TIC significatifs externalisés , qui sont proportionnels à la taille, aux activités et au profil de risque lié aux TIC de l’établissement et comprennent:

• a. une évaluation de l’incidence de l’externalisation des TIC sur la gestion des risques de l’établissement liée au recours à des prestataires de services (par exemple les prestataires de services dans le nuage) et à leurs services pendant le processus de passation de marché, qui est documentée et prise en considération par la direction générale ou l’organe de direction avant de décider d’externaliser les services ou non. L’établissement devrait examiner les politiques de gestion des risques liés aux TIC ainsi que les contrôles et l’environnement de contrôle des TIC du prestataire de services afin de s’assurer qu’ils respectent les objectifs internes de gestion des risques et l’appétit pour le risque de l’établissement. Cet examen devrait être périodiquement actualisé au cours de la période d’externalisation contractuelle, en tenant compte des caractéristiques des services externalisés;
• b. un suivi des risques liés aux TIC associés aux services externalisés pendant la période d’externalisation contractuelle dans le cadre de la gestion des risques de l’établissement, qui alimente les notifications de l’établissement sur sa gestion des risques liés aux TIC (par exemple les rapports sur la continuité des activités, les rapports de sécurité);
• c. un suivi et une comparaison des niveaux de service reçus avec les niveaux de service contractuellement convenus qui devraient faire partie du contrat d’externalisation ou de l’accord sur le niveau de service (ANS); et
• d. du personnel, des ressources et des compétences nécessaires pour surveiller et gérer les risques liés aux TIC associés aux services externalisés.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/