3.3 Procjena kontrola kojima se ublažavaju značajni rizici IKT -a

Kako bi procijenila preostalu izloženost institucije riziku IKT - a, nadležna tijela trebala bi preispitati kako institucija utvrđuje, prati, procjenjuje i smanjuje značajne rizike koje su nadležna tijela utvrdila tijekom navedene procjene.

U tu bi svrhu nadležna tijela za utvrđene značajne rizike IKT - a trebala preispitati sljedeće primjenjive stavke:

• a. politiku upravljanja rizikom IKT-a, postupke i pragove tolerancije rizika;
• b. okvir organizacijskog upravljanja i nadzora;
• c. obuhvat i rezultate unutarnje revizije;
• d. kontrole rizika IKT- a koje su specifične za utvrđeni značajni rizik IKT -a.

Pri procjeni bi trebalo uzeti u obzir rezultate analize cjelokupnog okvira za upravljanje rizicima i unutarnjih kontrola iz glave 5. Smjernica EBA-e o SREP-u, kao i upravljanje i strategiju institucije iz glave 2. ovih Smjernica, s obzirom na to da bi značajni nedostatci utvrđeni u tim područjima mogli utjecati na sposobno st institucije da upravlja svojim izloženostima riziku IKT -a i smanjuje ih. U slučajevima u kojima je to relevantno nadležna tijela trebala bi se poslužiti i izvorima informacija iz stavka 37. ovih Smjernica.

Nadležna tijela trebala bi izvršiti sljedeće korake procjene na način razmjeran prirodi, opsegu i složenosti aktivnosti institucije te uz primjenu nadzorne provjere koja je primjerena profilu rizičnosti institucije povezanom s IKT-om.

3.3.1 Politika upravljanja rizikom IKT - a, postupci i pragovi tolerancije

N adležna tijela trebala bi preispitati postoje li u instituciji primjerene politike upravljanja rizikom, postupci i pragovi tolerancije za utvrđene značajne rizike IKT - a. Oni mogu obuhvaćeni okvirom za upravljanje operativnim rizikom ili mogu činiti zaseban dokument. Pri toj procjeni nadležna bi tijela trebala uzeti u obzir sljedeće:

• a. je li politika upravljanja rizikom formalizirana, je li je odobrilo upravljačko tijelo i sadržava li dostatne smjernice o sklonosti preuzimanju rizika IKT-a, glavnim ciljevima upravljanja rizikom IKT-a i/ili pragovima tolerancije rizika IKT-a koji se primjenjuju. Svi relevantni dionici trebali bi biti obaviješteni o odgovarajućoj politici upravljanja rizikom IKT -a;
• b. obuhvaća li mjerodavna politika sve važne elemente za upravljanje utvrđenim značajnim rizicima IKT-a;
• c. je li institucija provela postupak i popratne radnje u cilju utvrđivanja (npr. samoprocjena kontrole rizika, analiza scenarija rizika) i praćenja značajnih rizika IKT - a o kojima je riječ; te
• d. postoji li u instituciji iz vješćivanje o upravljanju rizikom IKT - a kojim se višem rukovodstvu i upravljačkom tijelu pružaju pravodobne informacije i koji omogućava višem rukovodstvu i/ili upravljačkom tijelu da procijeni i prati jesu li planovi i mjere institucije za smanjenje rizika IKT- a u skladu s odobrenom sklonošću preuzimanju rizika i/ili pragovima tolerancije (u slučajevima u kojima je to relevantno) i da prati promjene značajnih rizika IKT -a

3.3.2 Okvir organizacijskog upravljanja i nadzora

Nadležna tijela trebala bi procijeniti kako su uloge i zaduženja za upravljanje rizicima ugrađeni i integrirani u unutarnju organizaciju radi upravljanja utvrđenim značajnim rizicima IKT -a i njihovog nadzora. Nadležna bi tijela u tom pogledu trebala procijeniti sljedeće:

• a. postoje li u instituciji jasne uloge i zaduženja za utvrđivanje, procjenu, praćenje, smanjenje i nadzor značajnih rizika IKT - a te za izvješćivanje o njima;
• b. jesu li zaduženja i uloge povezane s rizicima jasno priopćene, dodijeljene i ugrađene u sve relevantne dijelove (npr. poslovne linije, organizacijska jedinica za informacijske tehnologije) i postupke organizacije, uključujući uloge i zaduženja za prikupljanje i agregiranje informacija o rizicima i izvješćivanje višeg rukovodstva i/ili upravljačkog tijela o njima;
• c. izvršav aju li se aktivnosti upravljanja rizikom IKT-a uz dovoljne i kvalitativno primjerene ljudske i tehničke resurse. Kako bi procijenila kredibilitet planova za smanjenje rizika, nadležna tijela trebala bi procijeniti i je li institucija predvidjela dovoljna financijska sredstva ili druge resurse potrebne za njihovu provedbu;
• d. je li osigurano primjeno praćenje mjera i odgovor/reakcija od upravljačkog tijela povezanih s važnim nalazima u pogledu rizika IKT - a do kojih su došle neovisne kontrolne funkcije, pri čemu je moguće delegiranje nekih dijelova odboru, ako postoji;
• e. bilježi li neovisna kontrolna funkcija i dokumentirano preispituje iznimke od mjerodavnih odredbi i politika o IKT- u i izvješćuje li o njima, s posebnim naglaskom na povezane rizike.

3.3.3 Obuhvat i nalazi unutarnje revizije

Nadležna tijela trebala bi razmotriti je li funkcija unutarnje revizije učinkovita u pogledu revizije okvira za kontrolu rizika IKT- a, preispitujući sljedeće:

• a. jesu li revizije kontrolnog okvira za rizike IKT- a dovoljno kvalitetne, temeljite, učestale i razmjerne veličini, aktivnostima i profilu rizičnosti institucije u pogledu IKT -a;
• b. jesu li planom revizije obuhvaćene revizije ključnih rizika IKT -a koje je institucija utvrdila;
• c. je li upravljačko tijelo obaviješteno o važnim nalazima revizija IKT - a, uključujući dogovorene mjere; te
• d. jesu li poduzete daljnje aktivnosti povezane s nalazima revizija IKT- a, uključujući dogovorene mjere i provjerava li više rukovodstvo i/ili revizorski odbor redovito izvješća o napretku. 3.3.4 Kontrole rizika IKT- a koje su specifične za utvrđene značajne rizike IKT -a

Kad je rije č o utvrđenim značajnim rizicima IKT - a, nadležna tijela trebala bi procijeniti je li institucija uspostavila specifične kontrole namijenjene rješavanju tih rizika. U odjeljcima u nastavku naveden je nepotpun popis specifičnih kontrola koje je potrebno razmotriti pri procjeni značajnih rizika utvrđenih u skladu s točkom 3.2.3., koji su klasificirani u sljedeće kategorije rizika IKT - a:

• a. rizici povezani s kontinuitetom i dostupnošću IKT -a;
• b. sigurnosni rizici IKT-a;
• c. rizici promjena IKT-a;
• d. rizici IKT-a povezani s integritetom podataka;
• e. rizici povezani s eksternalizacijom IKT-a.
• (a) Kontrole za upravljanje značajnim rizicima povezanima s kontinuitetom i dostupnošću IKT-a

Uz zahtjeve iz Smjernica EBA-e o SREP-u (stavci od 279. do 281) nadležna tijela trebala bi procijeniti i postoji li u instituciji primjeren okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje rizika povezanih s kontinuitetom i dostupnošću IKT -a.

Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti sljedeće:

• a. jesu li okvirom utvrđeni ključni procesi/postupci IKT - a i odgovarajući podržavajući sustavi IKT -a koji bi trebali biti obuhvaćeni planovima za poslovnu otpornost i kontinuitet poslovanja s pomoću:
• i. sveobuhvatne analize međuovisnosti ključnih poslovnih procesa/postupaka i podržavajućih sustava;
• ii. određivanja ciljeva oporavka za podržavajuće sustave IKT - a (npr. obično određeni poslovanjem i/ili odredbama u pogledu ciljanih vremena oporavaka – RTO ili i ciljanih točki oporavka podataka - RPO);
• iii. primjerenih kriznih planova kojima se omogućuju dostupnost, kontinuitet poslovanja i oporavak ključnih sustava i usluga IKT - a kako bi se poremećaji u poslovanju institucije sveli na prihvatljive razine.
• b. jesu li okvirom obuhvaćene politike i standardi poslovne otpornosti i kontrolna okruženja kontinuiteta poslovanja te operativne kontrole koje obuhvaćaju:
• i. mjere kojima se izbjegava mogućnost da samo jedan scenarij, incident ili katastrofa utječu i na sustave IKT-a za produkciju i za oporavak;
• ii. postupke izrade pričuvnih kopija i oporavka za ključnu programsku opremu i podatke, kojima se jamči da su pričuvne kopije podataka pohranjene na sigurnom i dovoljno udaljenom mjestu kako incident ili katastrofa ne bi mogli uništiti ili oštetiti te ključne podatke;
• iii. sustave praćenja za pravodobno otkrivanje incidenata povezanih s dostupnošću ili kontinuitetom IKT-a;
• iv. dokumentiran proces/postupak za upravljanje incidentima i eskalaciju, kojim su obuhvaćene i smjernice za razne uloge i zaduženja u području upravljanja incidentima i eskalacijama, za članove kriznog odbora ili kriznih odbora i za zapovjedni lanac u slučaju kriznih situacija;
• v. fizičke mjere za zaštitu ključnih dijelova infrastrukture IKT -a institucije (npr. podatkovni centri) od rizika povezanih s okolišem (npr. poplava i drugih prirodnih nepogoda) i za osiguravanje primjerenog operativnog okruženja za sustave IKT -a (npr. klimat izacijski uređaji);
• vi. postupke, uloge i zaduženja kojima se osigurava da su i eksternalizirani sustavi i usluge IKT -a obuhvaćeni primjerenim rješenjima i planovima otpornosti i kontinuiteta poslovanja;
• vii. rješenja za planiranje i praćenje performansi te kapaciteta za ključne sustave i usluge IKT -a u skladu s definiranim zahtjevima u pogledu dostupnosti, u cilju pravodobnog uočavanja ograničenja povezanih s performansama i kapacitetom;
• viii. rješenja za zaštitu ključnih aktivnosti ili usluga pruženih putem interneta ( npr. usluge internetskog bankarstva), u slučajevima u kojima je to nužno i primjereno, od uskraćivanja usluga ili drugih internetskih kibernetičkih napada s ciljem sprečavanja ili ometanja pristupa tim aktivnostima i uslugama.
• c. provode li se unutar okvira t estiranja rješenja za dostupnost i kontinuitet IKT - a, uvažavajući niz realističnih scenarija, među kojima su i kibernetički napadi, testiranja prebacivanjem na zamjenske sustave i testiranja pričuvnih kopija za ključne programe i podatke, koja:
• i. su planir ana, formalizirana i dokumentirana, a rezultati testiranja upotrebljavaju se za poboljšanje učinkovitosti rješenja za dostupnost i kontinuitet IKT -a;
• ii. obuhvaćaju dionike i funkcije unutar organizacije, kao što je rukovodstvo poslovnih linija, uključujući t im za kontinuitet poslovanja te tim za odgovor na incidente i krizne situacije, kao i relevantne vanjske dionike;
• iii. imaju primjerenu razinu uključenosti upravljačkog tijela i višeg rukovodstva (npr. u sklopu timova za upravljanje kriznim situacijama) te ih s e obavještava o rezultatima testiranja.
• (b) Kontrole za upravljanje značajnim sigurnosnim rizicima IKT -a

Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje sigurnosnog rizika IKT- a. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti obuhvaća li taj okvir sljedeće:

• a. jasno definirane uloge i zaduženja u pogledu:
• i. svih osoba i/ili odbora zaduženih i/ili odgovornih za svakodnevno sigurnosno upravljanje IKT - om i za razvoj općih sigurnosnih politika IKT -a, s posebnim naglaskom na potrebu za njihovom neovisnošću;
• ii. osmišljavanja, provedbe i praćenja sigurnosnih kontrola IKT -a te upravljanja njima;
• iii. zaštite ključnih sustava i usluga IKT -a usvajanjem, primjerice, postupaka za provjeru ranjivosti, upravljanja programskim zakrpama, zaštite na krajnjim točkama (npr. od zlonamjernih sadržaja ili virusa) i alata za detekciju i sprečavanje upada;
• iv. praćenja i razvrstavanja vanjskih ili unutarnjih sigurnosnih incidenata IKT -a te postupanja s njima, uključujući reagiranje na incidente te ponovno osposobljavanje i oporavak sustava i usluga IKT-a;
• v. redovitih i proaktivnih procjena prijetnji kojima se osiguravaju primjerene sigurnosne kontrole.
• b. sigurnosnu politiku IKT- a koja uzima u obzir međunarodno priznate sigurnosne standarde i načela IKT- a (npr. načelo „najmanjih povlastica“ u upravljanju pristupnim pravima, odnosno ograničavanje pristupa na najmanju moguću razinu s kojom će biti moguće normalno funkcioniranje i načelo „obrane u dubinu“ u dizajniranju sigurnosne arhitekture, tj. slojeviti sigurnosni mehanizmi kojima se povećava sigurnost cijelog sustava) i koja ih se pridržava u slučajevima u kojima je to primjereno;
• c. postupak za utvrđivanje sustava, usluga i raz mjernih sigurnosnih zahtjeva IKT-a, koji su razmjerni mogućem riziku od prijevara i/ili mogućoj pogrešnoj uporabi i/ili zlouporabi povjerljivih podataka, te dokumentiranih sigurnosnih očekivanja kojih se treba pridržavati kad je riječ o tim utvrđenim susta vima, uslugama i podatcima, koji su usklađeni s tolerancijom rizika institucije i čija se ispravna provedba nadgleda;
• d. dokumentiran postupak za upravljanje sigurnosnim incidentima i eskalaciju, kojim se pružaju smjernice za razne uloge i zaduženja povezana s upravljanjem incidentima i eskalacijama, za članove kriznog odbora ili kriznih odbora i za zapovjedni lanac u slučaju sigurnosnih kriznih situacija;
• e. evidentiranje aktivnosti korisnika i administratora radi učinkovitog praćenja i pravodobnog uočavanja neovlaštenih aktivnosti i reagiranja na njih te radi olakšavanja i provedbe istraga o sigurnosnim incidentima. U instituciji trebaju postojati politike upravljanja zapisima kojima su definirane primjerene vrste zapisa koje se trebaju bilježiti, kao i razdoblje njihova čuvanja;
• f. kampanje ili inicijative s ciljem podizanja svijesti i informiranja kojima će se sve razine institucije informirati o sigurnoj uporabi i zaštiti sustava IKT -a institucije te o glavnim sigurnosnim (i drugim) rizicima IKT-a kojih trebaju b iti svjesni, osobito u pogledu postojećih i novorazvijenih kibernetičkih prijetnji (npr. računalni virusi, moguće unutarnje ili vanjske zlouporabe ili napadi, kibernetički napadi) i njihove uloge u ublažavanju povreda sigurnosti;
• g. primjerene fizičke sigurno sne mjere (npr. nadzorne kamere, protuprovalni alarm, sigurnosna vrata) za sprječavanje neovlaštenog fizičkog pristupa ključnim i osjetljivim sustavima IKT -a (npr. podatkovni centri);
• h. mjere za zaštitu sustava IKT - a od internetskih napada (tj. kibernetički h napada) ili napada iz drugih vanjskih mreža (npr. tradicionalne telekomunikacijske veze ili veze s pouzdanim partnerima). Nadležna tijela trebala bi preispitati obuhvaća li okvir institucije sljedeće:
• i. postupak i rješenja za održavanje potpune i ažurne evidencije i pregleda svih izloženih točaka za povezivanje na mrežu (npr. internetske stranice, internetske aplikacije, Wi-Fi , pristup na daljinu) kroz koje bi treće strane mogle neovlašteno pristupiti internim sustavima IKT-a;
• ii. strogo nadgledane sigurnosne mjere kojima se temeljito upravlja (npr. vatrozidi, proxy poslužitelji, posredovatelji elektroničke pošte, antivirusni programi i programi za skeniranje sadržaja) i koji služe za osiguravanje ulaznog i izlaznog mrežnog prometa (primjerice, elektronička pošta) i izloženih točaka za povezivanje na mrežu kroz koje bi treće strane mogle neovlašteno pristupiti internim sustavima IKT -a;
• iii. postupke i rješenja za osiguravanje internetskih stranica i aplikacija koje se mogu izravno napasti s interneta i/ili izvana, ko je bi služile kao ulazna točka u interne sustave IKT -a. Oni općenito obuhvaćaju kombinaciju priznatih sigurnih razvojnih praksi, praksi za ojačavanje sustava IKT- a i skeniranje ranjivosti i/ili provedbu dodatnih sigurnosnih rješenja poput vatrozida za apli kacije i/ili sustava za detekciju i/ili sprečavanje upada;
• iv. povremeno provođenje sigurnosnih penetracijskih testiranja radi procjene učinkovitosti implementiranih kibernetičkih i internih sigurnosnih mjera i provedenih postupaka povezanih s IKT-om. Ta testi ranja trebali bi provoditi zaposlenici i/ili vanjski stručnjaci koji raspolažu potrebnim stručnim znanjima, a dokumentirani rezultati testiranja i zaključci trebali bi se dostaviti višem rukovodstvu i/ili upravljačkom tijelu. U slučajevima u kojima je to potrebno i primjenjivo institucija bi iz tih testiranja trebala uvidjeti u kojim područjima treba dodatno unaprijediti sigurnosne kontrole i postupke i/ili dobiti bolje jamstvo njihove učinkovitosti.
• (c) Kontrole za upravljanje značajnim rizicima promjena IKT -a

Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje rizika promjena IKT- a, razmjeran prirodi, opsegu i složenosti aktivnosti institucije i profilu rizičnosti institucije u po gledu IKT-a. Okvir institucije trebao bi obuhvatiti rizike povezane s razvojem, testiranjem i odobravanjem promjena u sustavima IKT- a, uključujući razvoj ili promjenu programske opreme, prije uvođenja u produkcijsko okruženje te osigurati primjereno upravl janje životnim ciklusom IKT - a. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti obuhvaća li taj okvir sljedeće:

• a. dokumentirane postupke za upravljanje i kontroliranje promjena u sustavima IKT-a (npr. upravljanje konfiguracijama i zakrpama) te nad podatcima (npr. popravljanje grešaka i ispravak podataka), kojima se osigurava odgovarajuća primjena upravljanja rizikom IKT - a kad je riječ o važnim promjenama IKT- a koje bi mogle znatno utjecati na profil rizičnosti institucije ili njezinu izložen ost riziku;
• b. detalje povezane s potrebnom segregacijom dužnosti tijekom raznih faza postupaka uvođenja promjena IKT- a (npr. osmišljavanje i razvoj rješenja, testiranje i odobravanje novih programa i/ili promjena, migracija i implementacija u produkcijskom o kruženju, popravljanje grešaka), s posebnim naglaskom na implementirana rješenja i podjelu zaduženja radi upravljanja i kontrole promjena koje zaposlenici IKT-a (npr. razvojni programeri, administratori sustava IKT-a, administratori baza podataka) ili neka druga strana (npr. poslovni korisnici, pružatelji usluga) unose u produkcijske sustave IKT i nad pripadnih podacima;
• c. okruženja za testiranje koja primjereno odgovaraju produkcijskim okruženjima;
• d. evidenciju postojećih aplikacija i sustava IKT -a u produkci jskom okruženju, kao i u testnom i razvojnom okruženju, kako bi se potrebne promjene (npr. ažuriranja ili nadogradnje verzija, zakrpe sustava, konfiguracijske promjene) mogle pravilno provesti i pratiti te kako bi se njima moglo upravljati kad je riječ o t im sustavima IKT-a;
• e. postupke upravljanja i praćenja životnog ciklusa sustava IKT -a koji se upotrebljavaju ,kako bi se zajamčilo da i dalje zadovoljavaju i podržavaju stvarne poslovne zahtjeve i zahtjeve povezane s upravljanjem rizicima te kako bi se osigur alo da dobavljači još podržavaju rješenja i sustave IKT -a koji se upotrebljavaju, a ti postupci trebali bi biti popraćeni odgovarajućim postupcima povezanim sa životnim ciklusom razvoja programske podrške;
• f. sustav kontrole izvornog programskog koda i primje rene postupke za sprječavanje neovlaštenih izmjena izvornog programskog koda razvijenog unutar institucije;
• g. postupak za provjeru sigurnosti i ranjivosti novih ili značajno izmijenjenih sustava ili programske podrške IKT - a, prije nego što se uvedu u produkciju i izlože mogućim kibernetičkim napadima;
• h. postupak i rješenja za sprječavanje neovlaštenog ili nenamjernog otkrivanja povjerljivih podataka pri zamjeni, arhiviranju, uklanjanju ili uništavanju sustava IKT -a;
• i. neovisan postupak provjere i validacije kako bi se smanjio rizik ljudske pogreške pri izvršavanju promjena na sustavima IKT- a koje bi mogle imati važan nepovoljan učinak na dostupnost, kontinuitet ili sigurnost poslovanja institucije (npr. važne promjene u konfiguraciji vatrozida) ili samo na sigurnost institucije (npr. promjene vatrozida).
• (d) Kontrole za upravljanje značajnim rizicima IKT -a povezanim s integritetom podataka

Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje rizika IKT-a povezanog s integritetom podataka, razmjeran prirodi, opsegu i složenosti aktivnosti institucije i profilu rizičnosti institucije u pogledu IKT -a. U okviru institucije trebalo bi uzeti u obzir rizike povezane s očuvanjem integriteta podataka koji su pohranjeni u sustavima IKT-a i koje ti sustavi obrađuju. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti obuhvaća li taj okvir sljedeće:

• a. politiku kojom se utvrđuju uloge i zaduženja za upravljanje integritetom podataka u sustavim a IKT-a (npr. arhitekti podataka, službenici za podatke⁶ , skrbnici za podatke⁷ , vlasnici/nadzornici podataka⁸ ) i osiguravaju smjernice za utvrđivanje podataka koji su ključni s gledišta integriteta podataka i na koje bi se trebale primjenjivati posebne kontrole IKT-a (npr. kontrole validacije automatiziranog unosa, kontrole prijenosa podataka, usklađivanje itd.) ili provjere IKT -a (npr. provjera kompatibilnosti s arhitekturom podataka) u raznim fazama životnog ciklusa podataka IKT -a;
• b. dokumentiranu arhitektu ru podataka, model podataka i/ili rječnik podataka, koji su validirani s relevantnim poslovnim dionicima i dionicima iz područja informacijske tehnologije kako bi se osigurala potrebna konzistencija podataka u svim sustavima IKT-a i kako bi se osiguralo da su arhitektura podataka, model podataka i/ili rječnik podataka usklađeni s poslovnim potrebama i potrebama u pogledu upravljanja rizicima;
• c. politiku povezanu s dopuštenom uporabom programskih rješenja/alata razvijenih od strane krajnjih korisnika i oslanja njem na njih, osobito u pogledu utvrđivanja, registriranja i dokumentiranja važnih programskih rješenja razvijenih od krajnjih korisnika (npr. pri obradi važnih podataka) te s očekivanim razinama sigurnosti za sprečavanje neovlaštenih izmjena samog alata, ali i podataka pohranjenih u njemu;
• d. dokumentirane postupke za postupanje s iznimkama za rješavanje uočenih problema povezanih s integritetom podataka IKT- a u skladu s njihovom važnošću i osjetljivošću.

⁶ Službenici za podatke zaduženi su za obradu i uporabu podataka.

⁷ Skrbnici za podatke zaduženi su za sigurno čuvanje, prijenos i pohranu podataka.

⁸ Nadzornici podataka zaduženi su za upravljanje podatkovnim elementima i njihovu ispravnost, što se odnosi i na sadržaj i na metapodatke.

U slučaju nadziranih institucija koje su obuhvaćene Načelima BCBS -a br. 239 za učinkovito agregiranje podatka o riziku i izvješćivanje o riziku⁹ nadležna tijela trebala bi preispitati analizu rizika institucije povezanu s njezinim mogućnostima za izvješćivanje o riziku i agregiranje podataka u odnosu na nače la i pripremljenu dokumentaciju o tome, uzimajući u obzir vremenski okvir provedbe i prijelazne odredbe u tim načelima.

• (e) Kontrole za upravljanje značajnim rizicima povezanim s eksternalizacijom IKT -a

⁹ Bazelski odbor za nadzor banaka, N ačela za učinkovito agregiranje podatka o riziku i izvješćivanje o riziku, siječanj 2013., dostupno na internetskoj stranici http://www.bis.org/publ/bcbs239.pdf.

Nadležna tijela trebala bi procijeniti, sukladno zahtjev ima iz Smjernica za eksternalizaciju Odbora europskih nadzornih tijela za bankarstvo (CEBS) iz 2006. i nastavno na zahtjev iz stavka 85. točke (d) Smjernica EBA-e o SREP- u, primjenjuje li se strategija institucije za eksternalizaciju na primjeren način na eksternalizaciju IKT- a, uključujući eksternalizaciju unutar grupe. Pri procjeni rizika povezanih s eksternalizacijom IKT- a nadležna tijela trebala bi imati na umu da rizici povezani s eksternalizacijom IKT - a mogu biti obuhvaćeni procjenom inherentnih opera tivnih rizika iz stavka 240. točke (j) Smjernica EBA -e

• o SREP- u kako bi se izbjeglo dvostruko obavljanje posla ili dvostruki obračun.

Nadležna tijela osobito bi trebala procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje i mjerenje rizika povezanog s eksternalizacijom IKT-a i, prije svega, postoje li kontrole i kontrolna okruženja za smanjenje rizika povezanih s ključnim eksternaliziranim uslugama IKT -a, koji su razmjerni veličini i aktivnostima institucije te njezinom profilu rizičnosti u pogledu IKT - a, a obuhvaćaju sljedeće:

• a. procjenu utjecaja eksternalizacije IKT- a na upravljanje rizikom institucije povezano s angažiranjem pružatelja usluga (npr. pružatelji usluga u oblaku) i korištenjem njihovih usluga tijekom postupka na bave, koja se dokumentira i koju više rukovodstvo ili upravljačko tijelo uzima u obzir pri odlučivanju o eksternalizaciji usluga. Institucija bi trebala preispitati politike upravljanja rizikom IKT-a, kontrole IKT- a i kontrolno okruženje pružatelja usluga kako bi osigurala da zadovoljavaju ciljeve i sklonosti preuzimanju rizika povezane s internim upravljanjem rizikom institucije. To preispitivanje trebalo bi se povremeno ažurirati tijekom ugovornog razdoblja eksternalizacije, uzimajući u obzir značajke e ksternaliziranih usluga;
• b. praćenje rizika IKT -a povezanih s eksternaliziranim aktivnostima tijekom ugovornog razdoblja eksternalizacije kao dijela upravljanja rizicima institucije, koje se ugrađuje u izvješćivanje institucije
• o upravljanju rizikom IKT-a ( npr. izvješćivanje o kontinuitetu poslovanja, izvješćivanje o sigurnosti);
• c. praćenje i usporedbu primljenih razina usluga s ugovorno dogovorenim razinama usluga, koje bi trebale biti sastavni dio ugovora o eksternalizaciji ili ugovora o razini usluga;
• d. prim jerenost zaposlenika, resursa i kompetencija za praćenje rizika IKT -a koji proizlaze iz eksternaliziranih aktivnosti i za upravljanje njima.