3.1 Opća pitanja

Nadležna tijela trebala bi proci jeniti je li institucija pravilno utvrdila, procijenila i smanjila svoje rizike IKT-

• a. Taj postupak trebao bi biti dio okvira upravljanja operativnim rizikom i podudarati se s pristupom koji se primjenjuje na operativni rizik.

Nadležna tijela najprije trebaju utvrditi značajne inherentne rizike IKT - a kojima je institucija izložena ili bi mogla biti izložena, a zatim provesti procjenu učinkovitosti okvira institucije za upravljanje rizicima IKT -a te postupaka i kontrola za smanjenje tih rizika. Ishod procje ne trebao bi biti obuhvaćen u sažetku nalaza, koji se ugrađuje u ocjenu operativnog rizika iz Smjernica o SREP -u. Ako se rizik IKT- a smatra značajnim i nadležna tijela žele mu dodijeliti zasebnu ocjenu, trebaju mu dodijeliti ocjenu kao podriziku operativno g rizika na temelju tablice 1.

Pri provedbi procjene iz ove glave nadležna tijela trebala bi, kao osnovu za utvrđivanje prioriteta nadzorne procjene, upotrijebiti sve dostupne izvore informacija određene u stavku 127. glave 6. Smjernica EBA-e o SREP-u, kao na primjer aktivnosti institucije, izvješća i rezultate u području upravljanja rizicima institucije, . Nadležna tijela trebala bi pri provođenju te procjene upotrijebiti i druge izvore informacija, uključujući i sljedeće, u slučajevima u kojima je to relevantno:

• a. samoprocjene rizika IKT- a i kontrola (ako se navode u informacijama o ICAAP -u);
• b. informacije povezane s rizikom IKT - a dostavljene upravljačkom tijelu institucije, npr. redovita izvješća i izvješća potaknuta incidentima povezanima s rizikom IKT -a (uk ljučujući i bazu podataka operativnih gubitaka) i podatke o izloženosti riziku IKT - a dobivene od funkcije institucije za upravljanje rizicima;
• c. nalaze unutarnjih i vanjskih revizija povezanih s rizikom IKT-a koji su dostavljeni revizorskom odboru institucije.