2.4 Rizik IKT-a unutar okvira institucije za upravljanje rizicima

Pri procjeni upravljanja rizicima i unutarnjih kontrola u cijeloj instituciji, kako je predviđeno u glavi 5. Smjernica EBA-e o SREP- u, nadležna tijela trebala bi razmotriti jesu li unutar okvira institucije za upravljanje rizicima i okvira unutarnjih kontrola sustavi IKT- a primjereno zaštićeni na način razmjeran veličini i aktivnostima institucije te njezinom profilu rizičnosti u pogledu IKT - a, kako je definirano u glavi 3. Nadležna tijela trebala bi posebice utvrditi sljedeće:

• a. jesu li rizici IKT- a, kao dio šire kategorije operativnog rizika, obuhvaćeni sklonošću preuzimanju rizika i postupkom procjene adekvatnosti internog kapitala (ICAAP) pri definiranju opće strategije rizika i određivanju internog kapitala;
• b. jesu li rizici IKT- a obuhvaćeni okvirom za upravljanje rizicima i unutarnjih kontrola na razini cijele institucije.

Nadležna tijela trebala bi provesti procjenu navedenu pod točkom (a) uzimajući u obzir i očekivane i nepovoljne scenarije, npr. scenarije obuhvaćene testiranjem otpornosti na stres specifičnim za instituciju ili nadzornim testiranjem otpornosti na stres.

S posebnim naglaskom na točku (b), nadležna tijela trebala bi procijeniti jesu li funkcije neovisne kontrolne funkcije i funkcija unutarnje revizije, opisane u stavku 104. točkama (a) i (d) te stavku 105. točkama (a) i (c) Smjernica EBA -e o SREP-u, primjerene za osiguravanje dostatne razine neovisnosti između IKT - a i funkcija kontrole i revizije, s obzirom na veličinu institucije i njezin profil rizičnosti u pogledu IKT-a.