+243. A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un …

243. A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un …

A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un giudizio sul rischio operativo dell’ente. Detto giudizio dovrebbe riflettersi in una sintesi delle risultanze, accompagnata da un punteggio di rischio assegnato sulla scorta delle considerazioni di cui alla tabella 10. Qualora, in base alla rilevanza di alcune sottocategorie di rischio, l’autorità competente decida di valutare e attribuire un punteggio alle singole sottocategorie, le indicazioni fornite in questa tabella dovrebbero essere applicate, per quanto possibile, per analogia.

Tabella 10. Considerazioni di vigilanza per l’assegnazione di un punteggio per il rischio operativo

Punteggio Giudizio di del rischio vigilanza Considerazioni sul rischio Considerazioni per una gestione e intrinseco controlli adeguati Le esposizioni al rischio  Sussiste coerenza tra la operativo sono limitate a politica e la strategia del poche categorie con impatto rischio operativo dell’ente e la a elevata frequenza/di bassa strategia generale e la gravità. propensione al rischio. La rilevanza dell’esposizione  Il quadro organizzativo per il al rischio operativo non è rischio operativo è solido, con rilevante/è molto bassa, responsabilità definite in come mostrato dall’analisi di modo chiaro e una netta scenario e dal confronto con separazione dei compiti tra i
Sussiste basso impatto rischio un dile comparabili. Il (prima livello perdite dei delle degli recuperi perdite enti e lorde incluse  soggetti e controllo. Il quadro le funzioni che in materia assumono di gestione di rischio i e rischi
prudenziale significativo 1 sull’ente considerando livello di rischio ille perdite sul portafoglio operativo include tutti i rischi crediti causate dal rischio pertinenti. operativo) dall’ente non rilevante/molto negli riscontrate anni recenti basso, è o  I monitoraggio del sistemi rischio di operativo misurazione, e segnalazione sono
intrinseco, la gestione controlli. e i  è diminuito da un livello più adeguati. elevato. Nessuna esposizione  Il rischio quadro operativo di controllo è solido. per il significativa ai rischi ICT, architettura ICT semplice,  La gestione e i controlli dei resiliente e agile e rischi ICT rischi ICT sono adeguati per non rilevanti o molto bassi. quanto riguarda i requisiti di Il livello di rischio di cui al DORA. concentrazione nei confronti  Il quadro di gestione dei rischi di fornitori terzi di servizi è di terze parti è solido ed basso, con semplici catene di efficace e prevede adeguati subappalto. accordi contrattuali. L’intensità della minaccia che  Una gestione efficace e solida potrebbe causare gravi della continuità operativa, che interruzioni delle operazioni comprenda piani collaudati di
Punteggio Giudizio di del rischio vigilanza Considerazioni sul rischio Considerazioni per una gestione e intrinseco controlli adeguati (compresi gli incidenti legati continuità operativa, di alle ICT) di funzioni essenziali risposta e di ripristino. o importanti è bassa. Le esposizioni al rischio operativo sono principalmente nelle categorie con impatto a elevata frequenza/di bassa gravità. La rilevanza dell’esposizione al rischio operativo è da bassa a media, come mostrato dall’analisi di scenario e dal confronto con le perdite degli enti
Sussiste un rischio medio-basso di impatto prudenziale significativo 2 sull’ente considerando il livello di rischio intrinseco, la gestione e i comparabili. Il livello di perdite lorde riscontrate dall’ente negli anni recenti è stato da basso a medio, o se ne prevede un incremento dal livello storico più basso o una diminuzione del livello storico più elevato. Bassa esposizione ai rischi ICT, architettura ICT moderatamente complessa/parzialmente
controlli. vincolata e rischi ICT bassi/medi. Il livello di rischio di concentrazione nei confronti di fornitori terzi di servizi è medio, con catene di subappalto moderate. L’intensità della minaccia che potrebbe causare gravi interruzioni delle operazioni (compresi gli incidenti legati alle ICT) di funzioni essenziali o importanti è media.
Sussiste un rischio medio-elevato di impatto prudenziale 3 sull’ente considerando il livello di rischio intrinseco, la gestione e i controlli. Le esposizioni al rischio operativo si estendono ad  La coerenza tra la politica e la alcune categorie a impatto di strategia dell’ente per il rischio bassa frequenza/con elevata operativo e la sua strategia e gravità. propensione al rischio globali La rilevanza dell’esposizione non è sufficientemente al rischio operativo è da sviluppata o è addirittura media a elevata, come inadeguata. mostrato dall’analisi di  L’assetto organizzativo per il scenario e dal confronto con rischio operativo non è le perdite degli enti sufficientemente solido. comparabili.
Punteggio Giudizio di del rischio vigilanza     Considerazioni sul rischio Considerazioni per una gestione e intrinseco controlli adeguati Il livello di perdite lorde  Il quadro in materia di rischio riscontrate dall’ente negli operativo non include tutti i anni recenti è stato da medio rischi pertinenti. a elevato, o se ne prevede un  I sistemi di misurazione, incremento da un livello monitoraggio e segnalazione storico più basso o una del rischio operativo sono diminuzione da un livello inadeguati. storico più elevato.  Il sistema dei controlli per il Indicazioni relative a possibili rischio operativo è blando. esposizioni significative a  La gestione e i controlli dei rischi ICT, a un’architettura rischi ICT non sono conformi ICT complessa, rigida o per quanto riguarda i requisiti frammentata e a rischi ICT di di cui al DORA. livello medio-alto.  Il quadro di gestione dei rischi Il livello di rischio di da terze parti è concentrazione nei confronti incompleto/scarso, con di fornitori terzi di servizi è accordi contrattuali elevato, con catene di inadeguati. subappalto da moderate a  Gestione inadeguata della lunghe/complesse. continuità operativa, compresi L’intensità della minaccia che piani di continuità operativa, potrebbe causare gravi di risposta e di ripristino interruzioni delle operazioni inaffidabili, inefficaci o (compresi gli incidenti legati incompleti. alle ICT) di funzioni essenziali o importanti è elevata. Le esposizioni al rischio operativo si estendono a tutte le categorie principali. La rilevanza dell’esposizione al rischio operativo è elevata
Sussiste un elevato rischioe in aumento, come mostrato dall’analisi di scenario e dal confronto con
di impatto prudenziale significativo sull’ente 4 considerando il livello di rischio intrinseco, la gestione e i controlli.  le perdite degli enti comparabili. Il livello delle perdite lorde riscontrate dall’ente negli anni recenti è elevato o il rischio è aumentato in modo significativo. Numerose indicazioni relative a significative esposizioni al rischio ICT, a un’architettura ICT altamente complessa/fragile e a elevati rischi ICT. Il livello di rischio di concentrazione nei confronti di fornitori terzi di servizi è molto elevato/grave, con
Punteggio Giudizio di del rischio vigilanzaConsiderazioni sul rischio Considerazioni per una gestione e intrinseco controlli adeguati catene di subappalto lunghe/complesse. L’intensità della minaccia che potrebbe causare gravi interruzioni delle operazioni (compresi gli incidenti legati alle ICT) di funzioni essenziali o importanti è molto elevata/grave.

1. Panoramica

,

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

Requisiti

3. Standard correlati

Standard
  • EBA -

    EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

    DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.