1. cím – Általános rendelkezések

Az illetékes hatóságoknak az IKT kockázatkezelés és az irányítás kialakításának, valamint az IKT - stratégiának az értékelését a SREP- eljárás részeként kell elvégezniük, követve az EBH SREP - iránymutatásainak 2. címe szerinti, a szerepvállalás minimumszintjére vonatkozó modellt és arányossági kritériumokat. Ez főleg a következőket jelenti:

• a. az IKT-kockázat értékelés gyakorisága a szerepvá llalás minimumszintjére vonatkozó modelltől függ, amely azon alapul, hogy az intézményt mely SREP - kategóriába sorolták be, valamint függ az intézményre vonatkozó egyedi felügyeleti vizsgálati programtól;
• b. az IKT- értékelés mélységének, részletességének és i ntenzitásának arányban kell állnia az intézmény méretével, felépítésével és működési környezetével, valamint tevékenységeinek jellegével, nagyságrendjével és összetettségével.

A felügyeleti szerepvállalás és az intézménnyel folytatott párbeszéd hatókörére, gyakoriságára és intenzitására, valamint az azon standardokra vonatkozó felügyeleti elvárásokra, amelyeknek az intézménynek meg kell felelnie, ezen iránymutatásokban mindvégig az arányosság elve alkalmazandó.

Az illetékes hatóságok az értékelés frissítés e érdekében támaszkodhatnak az intézmény vagy az illetékes hatóság által más kockázatok vagy SREP- elemek értékelésével összefüggésben már elvégzett munkára, és figyelembe vehetik azt. Konkrétan, az ezen iránymutatásokban meghatározott értékelések elvégzése kor az illetékes hatóságoknak ki kell választaniuk a legmegfelelőbb felügyeleti értékelési megközelítést és módszertant, amely arányos és a legjobban illeszkedik az intézményhez, és az illetékes hatóságoknak a meglévő és rendelkezésre álló dokumentációt fe l kell használniuk (pl. vonatkozó jelentések és más dokumentumok, a (kockázatkezelési) vezetőséggel folytatott megbeszélések, a helyszíni ellenőrzések megállapításai), hogy információkkal szolgáljanak az illetékes hatóságok által végzett értékeléséhez.

Az illetékes hatóságoknak össze kell foglalniuk az ezen iránymutatásokban meghatározott kritériumok értékelése során tett megállapításaikat, és ezeket kell felhasználniuk az EBH SREP -iránymutatásaiban meghatározott SREP-elemek értékelésére vonatkozó következtetések levonása céljából.

Az irányítás és az IKT - stratégia ezen iránymutatások 2. címével összhangban elvégzett értékelésének olyan megállapításokat kell eredményeznie, amelyek információkat szolgáltatnak a SREP - en belül a belső irányítás és az intézményi kontrollintézkedések EBH SREP- iránymutatásainak 5. címében meghatározott értékelése során szerzett eredmények összesítéséhez, és annak tükröződnie kell az adott SREP -elem pontszámában. Továbbá, az illetékes hatóságoknak figyelemmel kell lenniük, hogy az I KT-stratégia értékelése által az intézmény üzleti stratégiájára gyakorolt bármilyen jelentős káros hatásról, illetve bármilyen azzal kapcsolatos aggodalomról, hogy az intézmény esetlegesen nem rendelkezik elegendő IKT- erőforrással és IKT -kapacitással a tervezett fontos stratégiai változtatások elvégzéséhez és támogatásához, információkat kell szolgáltatni az EBH SREP - iránymutatásainak 4. címével összhangban elvégzett üzletimodell-elemzéshez.

Az IKT- kockázat ezen iránymutatások 3. címében meghatározott értékeléséből adódó eredményeknek információkkal kell szolgálniuk a működési kockázat értékelésére vonatkozó megállapításokhoz, és azokat információként figyelembe kell venni az EBH SREP- iránymutatásainak 6.4. címében meghatározott vonatkozó pontszámban.

Megje gyzendő, hogy jóllehet az illetékes hatóságoknak a kockázatok alkategóriáit általában a fő kategóriák részeként kell értékelniük (azaz az IKT- kockázatot a működési kockázat részeként fogják értékelni), amennyiben az illetékes hatóságok egyes alkategóriákat lényegesnek ítélnek, ezen alkategóriákat egyedileg is értékelhetik. E célból, amennyiben az illetékes hatóság lényeges kockázatként azonosítja az IKT - kockázatot, ezen iránymutatások megadják azt a pontozási táblázatot (1. táblázat), amelyet az IKT -kockázat mint önálló alkategória pontozásakor a – tőkét érintő kockázatok pontozásának az EBH SREP- iránymutatásaiban foglalt általános megközelítését követve – alkalmazni kell.

Az arra vonatkozó álláspont kialakításakor, hogy az IKT -kockázatot lényegesnek kell-e tekinteni, és emiatt az IKT- kockázatot a működési kockázat egyedi alkategóriájaként értékeljék és pontozzák, az illetékes hatóságok az EBH SREP-iránymutatásainak 6.1. szakaszában meghatározott kritériumokat alkalmazhatják.

Ezen iránymutatások alkalmazásakor az illetékes hatóságoknak adott esetben az IKT-kockázatok alkategóriáinak a mellékletben megadott nem teljes körű felsorolását és a mellékletben megadott kockázati forgatókönyveket kell figyelembe venniük, annak megjegyzése mellett, hogy a melléklet azokra az IKT- kockázatokra helyezi a hangsúlyt, amelyek súlyos veszteségekhez vezethetnek. Az illetékes hatóságok kizárhatnak egyes, az osztályozási rendszerben szereplő IKT - kockázatokat, ha azok nem lényegesek értékelésük szem pontjából. Az intézményekkel szemben elvárás, hogy az IKT -kockázatok mellékletben meghatározott osztályozási rendszere helyett saját kockázati osztályozási rendszert tartsanak fenn.

Amennyiben ezen iránymutatásokat határokon átnyúló tevékenységet folytató bankcsoportok és azok szervezetei tekintetében alkalmazzák és már sor került felügyeleti kollégium létrehozására, úgy a részt vevő illetékes hatóságoknak – az EBH SREP-iránymutatásainak 11.1. szakasza értelmében végrehajtott SREP-értékeléssel kapcsolatos e gyüttműködés keretében – a csoport valamennyi szervezetére kiterjedően következetesen, a lehető legnagyobb mértékben össze kell hangolniuk az egyes információk pontos és részletes tartalmát.