2.1 Principi generali

Le autorità competenti dovrebbero valutare se i sistemi di governance e di controllo interno dell’ente coprano adeguatamente i sistemi ICT e i rischi ad essi correlati e se l’organo di amministrazione tratti adeguatamente tali aspetti, poiché l’ICT è fondamentale per il corretto funzionamento di un ente.

Durante l’esecuzione di tale valutazione, le autorità competenti dovrebbero fare riferimento ai requisiti e agli standard di organizzazione interna e di controllo dei rischi, come specificato negli Orientamenti ABE sull’organizzazione interna (GL 44)⁴ e nelle linee guida internazionali relative a tale ambito, nella misura in cui applicabili data la specificità dei sistemi e dei rischi ICT.

La valutazione di cui al presente titolo non copre gli elementi specifici della governance, della gestione e del controllo dei sistemi ICT che riguardano i rischi ICT specifici trattati nel titolo 3 dei presenti orientamenti, ma si concentra sulle seguenti aree:

• a. strategia ICT – se l’ente dispone di una strategia ICT che è adeguatamente gestita ed è in linea con la strategia aziendale dell’ente;
• b. governance generale – se l’organizzazione interna generale dell’ente è adeguata rispetto ai sistemi ICT dello stesso; e
• c. rischio ICT nel sistema di gestione dei rischi dell’ente – se il sistema di gestione dei rischi e di controllo interno dell’ente protegge adeguatamente i sistemi ICT dello stesso.

Il punto a) di cui al paragrafo 22, pur fornendo informazioni sugli elementi relativi alla governance dell’ente, dovrebbe contribuire principalmente alla valutazione del modello imprenditoriale, di cui al titolo 4 degli Orientamenti dell’ABE sullo SREP. I punti b) e c) completano ulteriormente le valutazioni relative ai temi di cui al titolo 5 degli Orientamenti dell’ABE sullo SREP e la valutazione descritta nei presenti orientamenti dovrebbe contribuire alle rispettive valutazioni di cui al titolo 5 degli Orientamenti dell’ABE sullo SREP.

L’esito della presente valutazione dovrebbe incidere, se del caso, sulla valutazione della gestione e controllo dei rischi di cui al titolo 3 dei presenti orientamenti.