Glava 1. – Opće odredbe

Nadležna tijela bi u okviru SREP postupka trebala provesti procjenu rizika IKT -a, sustava upravljanja i strategije IKT- a pridržavajući se modela minimalnog angažmana i kriterija proporcionalnosti određenih u glavi 2. Smjernica EBA-e o SREP-u. To po najprije znači sljedeće:

• a. učestalost procjena rizika IKT - a ovisila bi o modelu minimalnog angažmana koji je uvjetovan kategorijom SREP-a u koju je institucija razvrstana te o konkretnom planu nadzora institucije;
• b. dubina, podrobnost i intenzitet procjene IKT- a trebali bi biti razmjerni veličini, ustroju i operativnim uvjetima institucije, kao i naravi, opsegu i složenosti njezinih aktivnosti.

Načelo proporcionalnosti u cijelim se Smjernicama primjenjuje na opseg, učestalost i intenzitet angažmana nadzornih tijela i dijaloga s institucijom te na nadzorna očekivanja standarda koje institucija treba zadovoljiti.

Nadležna tijela mogu uzeti u obzir aktivnosti koje su institucija ili nadležno tijelo već obavili u okviru procjena drugih rizika ili elemenata SREP-a te se mogu osloniti na njih kako bi imala na raspolaganju ažuriranu procjenu. Konkretno, pri provedbi procjena iz ovih Smjernica nadležna tijela trebala bi odabrati najprimjereniji pristup i metodologiju nadzorne procjene koji su najprikladniji za određenu instituciju i razmjerni toj instituciji; uz to, nadležna bi tijela trebala upotrijebiti postojeće i dostupne resurse (npr. odgovarajuća izvješća i druge dokumente, sastanke s funkcijama odgovornima za upravljanje (rizicima) , rezultate izravnih nadzora) i temeljiti svoju procjenu na njima.

Nadležna tijela trebala bi sažeti rezultate svojih procjena kriterija određenih u ovim Smjernicama i upotrijebiti ih prilikom donošenja zaključaka o procjeni elemenata SREP - a, kako je određeno u Smjernicama EBA-e o SREP-u.

Prije svega, iz procjene upravljanja i strategije IKT-a provedene u skladu s glavom 2. ovih Smjernica trebali bi proizaći rezultati na kojima će se temeljiti sažetak nalaza procjene elementa SREP -a koji se odnosi na interno upravljanje i kontrolu na ra zini institucije, kako je određeno u glavi 5. Smjernica EBA-e

• o SREP- u, te bi se ta procjena trebala odražavati u ocjeni tog elementa SREP - a. Osim toga, nadležna tijela trebala bi imati na umu da se svi značajni nepovoljni učinci procjene strategije IKT -a na poslovnu strategiju institucije, kao i zabrinutosti da institucija možda nema dovoljno resursa i kapaciteta IKT -a za provedbu i potporu važnih planiranih strateških promjena, trebaju obuhvatiti analizom poslovnog modela u skladu s glavom 4. Smjernica EB A-e o SREP-u.

Rezultat procjene rizika IKT- a, kako je određeno u glavi 3. ovih Smjernica, trebao bi se ugraditi u rezultate procjene operativnog rizika te bi se trebalo smatrati da utječe na njezinu ocjenu, kako je određeno glavom 6.4. Smjernica EBA -e o SREP-u.

Napomin je se da bi nadležna tijela načelno trebala procijeniti potkategorije rizika u okviru glavnih kategorija (tj. rizik IKT- a procijenit će se u sklopu operativnog rizika), no ako nadležna tijela zaključe da su neke potkategorije značajne, te potkategorije mogu procijeniti pojedinačno. Stoga, u slučaju da nadležno tijelo utvrdi da je rizik IKT - a značajan rizik, u ovim se Smjernicama nalazi tablica za ocjenjivanje (tablica 1.) koja se treba upotrebljavati za ocjenjivanje rizika IKT-a kao zasebne kategorije, prid ržavajući se općeg pristupa ocjenjivanju rizika za kapital iz Smjernica EBA -e o SREP-u.

Kako bi odredila treba li se rizik IKT- a smatrati značajnim te procjenjivati i ocjenjivati kao samostalna kategorija operativnog rizika, nadležna tijela mogu upotrijebi ti kriterije navedene u odjeljku 6.1. Smjernica EBA-e o SREP-u.

Pri primjeni ovih Smjernica nadležna tijela trebala bi, u slučajevima u kojima je to potrebno, uzeti u obzir nepotpun popis potkategorija rizika IKT- a i scenarija rizika određenih u Prilogu, imajući na umu da je Prilog usmjeren na rizike IKT- a koji mogu prouzročiti vrlo ozbiljne gubitke. Nadležna tijela mogu isključiti neke rizike IKT- a obuhvaćene klasifikacijom ako se ne odnose na njihovu procjenu. Institucije bi trebale uspostaviti vlastite k lasifikacije rizika, a ne upotrebljavati klasifikaciju rizika IKT -a iz Priloga.

Kada se ove Smjernice primjenjuju na prekogranične grupe banaka i njihove subjekte, a osnovan je kolegij nadzornih tijela, uključena nadležna tijela trebala bi u kontekstu sura dnje za potrebe procjene u okviru SREP-a u skladu s odjeljkom 11.1. Smjernica EBA-e o SREP- u koordinirati u najvećoj mogućoj mjeri precizni i detaljni obuhvat svake stavke informacija, jednako za sve subjekte grupe.