3.1 Általános szempontok

Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelően azonosította - e, értékelte -e és mérsékelte-e IKT- kockázatait. E folyamatnak a működésikockázat -kezelési keretrendszer részét kell képeznie, és összhangban kell lennie a működési kockázat tekintetében alkalmazott megközelítéssel.

Az illetékes hatóságoknak először azonosítaniuk kell azokat a lényeges inherens IKT - kockázatokat, amelyeknek az intézmény ki van vagy ki lehet téve, majd értékelniük kell, hogy az intézmény IKT - kockázatok kezelésére szolgáló keretrendszere, eljárásai és kontrollintézkedései mennyire ered ményesen mérsékelik e kockázatokat. Az értékelés eredményét a megállapítások összegzésében kell bemutatni, amely a SREP - iránymutatásokban szereplő, működési kockázatra vonatkozó pontszám egyik alapja. Amennyiben az IKT- kockázatot lényegesnek ítélik, és az illetékes hatóságok külön pontszámot kívánnak adni, az 1. táblázatot kell felhasználni a működési kockázat ezen alkategóriájának a pontozásához.

Az e cím szerinti értékelés során az illetékes hatóságoknak a felügyeleti értékelés prioritásainak azonosításáh oz kiindulási alapként fel kell használniuk az EBH SREP- iránymutatásai 6. címének 127. bekezdésében meghatározott minden rendelkezésre álló információforrást, pl. az intézmény kockázatkezelési tevékenységeit, a jelentéstételt és az eredményeket. Az illeték es hatóságoknak ezen értékelés elvégzéséhez más információforrásokat is fel kell használniuk, adott esetben ideértve a következőket:

• a. az IKT-kockázat és a kontrollintézkedések önértékelése (ha az ICAAP-információkban megadják);
• b. az intézmény vezető testületének benyújtott, IKT - kockázattal kapcsolatos vezetői információk, pl. rendszeres és incidens vezérelt IKT kockázati jelentések (ezen belül a működési veszteségek adatbázisában szereplő információk), az intézmény kockázatkezelési szakterületéről származó IKT-kockázati kitettségi adatok;
• c. az intézmény audit bizottságának jelentett, IKT - val kapcsolatos belső és külső ellenőrzések megállapításai.