184. En ce qui concerne les risques liés aux TIC et à la sécurité , les autorités compétentes …

En ce qui concerne les risques liés aux TIC et à la sécurité⁵⁵ , les autorités compétentes doivent être convaincues que le cadre de gestion garantira le bon fonctionnement, la fiabilité et la sécurité des systèmes d’information et de communication à l’appui des activités des établissements de crédit, ainsi que la prévention, le suivi et l’atténuation adéquats des risques liés aux TIC en temps normal et en période de crise. Les autorités compétentes doivent notamment évaluer:

• (a) si l’organe de direction est globalement responsable de la définition, de l’approbation et de la supervision de la mise en œuvre de la stratégie TIC des établissements financiers, qui doit être alignée sur la stratégie commerciale globale des établissements financiers;
• (b) la définition et l’attribution claires des rôles et responsabilités clés, ainsi que les voies hiérarchiques pertinentes, pour que le cadre de gestion des risques liés aux TIC et à la sécurité soit efficace, notamment l’affectation d’un budget approprié pour répondre de manière adéquate aux besoins opérationnels en matière de TIC et à la gestion des risques liés aux TIC et à la sécurité;
• (c) si la gestion et la supervision des risques liés aux TIC et à la sécurité sont confiées à une fonction de contrôle indépendante et objective, correctement séparée des processus opérationnels des TIC et non responsable de tout audit interne, et à une fonction d’audit interne indépendante;
• (d) les dispositions visant à garantir l’identification, l’établissement et la maintenance d’une cartographie actualisée des fonctions, des rôles et des processus de soutien des entreprises afin de déterminer l’importance de chacune d’entre elles et de leurs interdépendances en ce qui concerne les risques liés aux TIC et à la sécurité;
• (e) dans la mesure où les informations sont détenues sur les systèmes TIC, si les exigences en matière de sécurité de l’information seront en place;
• (f) l’ampleur, la complexité et l’importance des dépendances liées aux TIC, si l’externalisation des fonctions opérationnelles des services TIC et de toute activité des systèmes TIC — notamment à des entités du groupe — ou l’utilisation de tiers en relation avec ces fonctions et activités est envisagée.

⁵⁵ Au sens des orientations de l’ABE sur la gestion des risques liés aux TIC et à la sécurité , on entend par «risques liés aux TIC et à la sécurité»: «Risque de perte découlant d’une violation de la confidentialité, d’une défaillance de l’intégrité des systèmes et des données, de l’inadéquation ou de l’indisponibilité des systèmes et des données, ou de l’impossibilité de modifier les technologies de l’information dans un délai et pour des coûts raisonnables, lorsque l’environnement ou les exigences «métiers» changent (agilité). Cela inclut les risques de sécurité découlant de processus internes insuffisants ou de défaillance de ces processus, ou bien d’événements externes, tels que des cyberattaques ou une sécurité physique insuffisante».

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/