2.4 Rischi ICT nel sistema di gestione del rischio

Nel valutare la gestione dei rischi e dei controlli interni dell’ente, come previsto dal titolo 5 degli Orientamenti dell’ABE sullo SREP, le autorità competenti dovrebbero valutare se il sistema di gestione dei rischi e dei controlli interni dell’ente protegga adeguatamente i sistemi ICT dell’ente, in modo proporzionato alla dimensione e all’attività dell’ente e al suo profilo di rischio ICT, come definito nel titolo 3. In particolare, le autorità competenti dovrebbero determinare se:

• a. la propensione al rischio e il processo di valutazione dell’adeguatezza del capitale interno (ICAAP) coprono i rischi ICT, nell’ambito della categoria più ampia del rischio operativo, per la definizione della strategia globale del rischio e la determinazione del capitale interno;
• b. i rischi ICT rientrano nell’ambito di applicazione dei sistemi a livello aziendale di gestione del rischio e dei controlli interni dell’ente.

Le autorità competenti dovrebbero effettuare la valutazione di cui al precedente punto a) tenendo in considerazione sia gli scenari attesi che quelli avversi, ad esempio quelli inclusi nelle prove di stress specifiche per l’ente o di vigilanza.

Con particolare riguardo al punto b), le autorità competenti dovrebbero valutare se le funzioni di controllo indipendenti e di audit interno, come specificato nel paragrafo 104, lettere a) e d) e nel paragrafo 105, lettere a) e c) degli Orientamenti dell’ABE sullo SREP, siano idonee a garantire un livello sufficiente di indipendenza tra la funzione ICT e le funzioni di controllo e audit, tenendo in considerazione la dimensione e il profilo di rischio ICT dell’ente.