49. Le autorità competenti dovrebbero verificare se l’ente disponga di politiche, processi, e …

Le autorità competenti dovrebbero verificare se l’ente disponga di politiche, processi, e soglie di tolleranza adeguati per la gestione dei rischi ICT rilevanti identificati. Questi possono fare parte del sistema di gestione dei rischi operativi o di un documento separato. Ai fini della valutazione, le autorità competenti dovrebbero considerare se:

• a. la politica di gestione dei rischi è formalizzata e approvata dall’organo di amministrazione e fornisce linee guida sufficienti sulla propensione al rischio ICT dell’ente e sui principali obiettivi di gestione dei rischi ICT e/o sulle relative soglie di tolleranza applicate. Inoltre, la politica di gestione dei rischi ICT dovrebbe essere comunicata a tutte le parti interessate;
• b. la suddetta politica copre tutti gli elementi significativi per la gestione dei rischi ICT rilevanti individuati;
• c. l’ente ha attuato un processo e procedure sottostanti per l’identificazione (ad es. autovalutazioni del controllo dei rischi (RCSA), analisi dello scenario di rischio) e il monitoraggio dei rischi ICT rilevanti;
• d. l’ente dispone di una reportistica relativa alla gestione dei rischi ICT che fornisce informazioni tempestive all’alta dirigenza e all’organo di amministrazione e che permette all’alta dirigenza e/o all’organo di amministrazione di valutare e monitorare se i piani e le misure di mitigazione dei rischi ICT degli enti siano coerenti con la propensione al rischio approvata e/o con le soglie di tolleranza (laddove pertinenti) e di monitorare i cambiamenti dei rischi ICT rilevanti.

3.3.2 Sistema di gestione organizzativa e controllo

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.