Titolo 1 - Disposizioni generali

Le autorità competenti dovrebbero effettuare la valutazione dei rischi ICT, della governance e della strategia relativa all’ICT come parte del processo SREP, in conformità del modello di impegno minimo e dei criteri di proporzionalità di cui al titolo 2 degli Orientamenti dell’ABE sullo SREP. In particolare, ciò significa che:

• a. la frequenza della valutazione dei rischi ICT dipenderà dal modello di impegno minimo stabilito in base alla categoria SREP assegnata all’ente, nonché al suo programma di revisione prudenziale; e
• b. la profondità, il livello di dettaglio e l’intensità della valutazione dell’ICT dovrebbero essere proporzionati a dimensione, struttura e contesto operativo dell’ente, nonché alla natura, ampiezza e complessità delle sue attività.

Nei presenti orientamenti, il principio di proporzionalità si applica all’ambito di applicazione, alla frequenza e all’intensità dell’impegno e del dialogo di vigilanza con un ente, nonché alle aspettative di vigilanza sugli standard che l’ente dovrebbe soddisfare.

Le autorità competenti possono prendere in considerazione il lavoro svolto in precedenza dall’ente o dalle autorità competenti stesse nell’ambito delle valutazioni di altri rischi o elementi legati allo SREP, e basarsi su di esso per aggiornare la valutazione. In particolare, durante l’esecuzione delle valutazioni specificate nei presenti orientamenti, le autorità competenti dovrebbero scegliere l’approccio e la metodologia di valutazione prudenziale più appropriati e proporzionalmente adeguati all’ente e dovrebbero altresì utilizzare la documentazione esistente disponibile (ad es. relazioni e altri documenti pertinenti, assemblee dei dirigenti (incaricati della gestione dei rischi), risultati delle ispezioni in loco) per formare la propria valutazione.

Le autorità competenti dovrebbero riassumere i risultati delle valutazioni dei criteri specificati nei presenti orientamenti e utilizzarli per trarre debite conclusioni sulla valutazione degli elementi dello SREP, come specificato negli Orientamenti dell’ABE sullo SREP.

In particolare, i risultati della valutazione della governance e della strategia riguardante l’ICT, effettuata in conformità del Titolo 2 dei presenti orientamenti dovrebbero riflettersi nel riepilogo dei risultati della valutazione dell’elemento dello SREP relativo alla governance e ai controlli interni a livello aziendale, come specificato nel titolo 5 degli Orientamenti dell’ABE sullo SREP, ed essere rispecchiati dal rispettivo punteggio di tale elemento dello SREP. Inoltre, le autorità competenti dovrebbero considerare che qualsiasi impatto negativo significativo della valutazione della strategia ICT sulla strategia aziendale dell’ente, o qualsiasi preoccupazione relativa al fatto che l’ente non abbia sufficienti risorse e capacità ICT per effettuare e sostenere importanti cambiamenti strategici pianificati, dovrebbero contribuire all’analisi del modello imprenditoriale eseguita in conformità del titolo 4 degli Orientamenti dell’ABE sullo SREP.

L’esito della valutazione dei rischi ICT, come specificato nel titolo 3 dei presenti orientamenti, dovrebbe influenzare i risultati della valutazione del rischio operativo e dovrebbe incidere sul pertinente punteggio, come specificato nel titolo 6.4 degli Orientamenti dell’ABE sullo SREP.

Si noti che, mentre in generale le autorità competenti dovrebbero valutare le sottocategorie dei rischi come parte delle categorie principali (ad es. il rischio ICT dovrebbe essere valutato come parte del rischio operativo), laddove le autorità competenti ritengano che alcune sottocategorie siano rilevanti, potranno decidere di valutarle individualmente. A tal fine, laddove l’autorità competente identifichi un rischio ICT come rilevante, i presenti orientamenti riportano una tabella di punteggio (tabella 1) da utilizzare per assegnare un punteggio individuale alla sottocategoria di rischio ICT, in linea con l’approccio generale, contenuto negli Orientamenti dell’ABE sullo SREP, per l’assegnazione di punteggio ai rischi che impattano sul capitale.

Per decidere quando il rischio ICT sia da considerare rilevante e, di conseguenza, se vi sia la possibilità di valutare e assegnare un punteggio a detto rischio considerandolo come una sottocategoria distinta del rischio operativo, le autorità competenti possono fare riferimento ai criteri di cui alla sezione 6.1 degli Orientamenti dell’ABE sullo SREP.

Nell’applicazione dei presenti orientamenti, le autorità competenti dovrebbero, se del caso, riferirsi all’elenco non esaustivo delle sottocategorie e degli scenari di rischio ICT definiti nell’allegato, tenendo presente che l’allegato si incentra sui rischi ICT che possono causare gravi perdite. Le autorità competenti possono escludere taluni rischi ICT presenti nella classificazione, se non pertinenti alla loro valutazione. Gli enti sono tenuti a mantenere le proprie classificazioni di rischio anziché utilizzare la classificazione dei rischi ICT di cui all’allegato.

Laddove i presenti orientamenti si applichino ai gruppi bancari transfrontalieri e alle loro entità e nel caso in cui sia stato istituito un collegio delle autorità di vigilanza, le autorità competenti dovrebbero, in virtù della collaborazione ai fini della valutazione SREP, in conformità della sezione 11.1 degli Orientamenti dell’ABE sullo SREP, coordinare il più possibile l’ambito di applicazione preciso e dettagliato di ciascuna informazione in modo uniforme per tutte le entità del gruppo.