3.1 Considerazioni generali

Le autorità competenti dovrebbero valutare se l’ente abbia adeguatamente individuato, valutato e mitigato i propri rischi ICT. Questo processo dovrebbe essere parte del sistema di gestione del rischio operativo ed essere coerente con l’approccio applicato al rischio operativo.

Le autorità competenti dovrebbero innanzitutto individuare i rischi ICT intrinseci rilevanti a cui l’ente è,

• o potrebbe essere, esposto, ed effettuare una valutazione dell’efficacia del sistema di gestione dei rischi ICT degli enti, nonché delle procedure e dei controlli per ridurre tali rischi. L’esito della valutazione dovrebbe riflettersi in una sintesi dei risultati che viene inclusa nel punteggio di rischio operativo di cui agli Orientamenti sullo SREP. Quando il rischio ICT è considerato significativo e le autorità competenti desiderano assegnare un punteggio individuale, la Tabella 1 deve essere utilizzata per assegnare un punteggio in quanto sottocategoria del rischio operativo.

Durante la valutazione di cui al presente titolo, le autorità competenti dovrebbero utilizzare tutte le fonti informative disponibili, come stabilito nel titolo 6, paragrafo 127, degli Orientamenti dell’ABE sullo SREP, ad esempio le attività di gestione dei rischi dell’ente, le relazioni e gli esiti, come base per l’individuazione delle loro priorità di valutazione prudenziale. Le autorità competenti dovrebbero altresì utilizzare altre fonti di informazione per effettuare tale valutazione, tra cui, se del caso:

• a. le autovalutazioni dei rischi e dei controlli ICT (se incluse nelle informazioni ICAAP);
• b. le informazioni di gestione (Management Information - MI) correlate al rischio ICT presentate all’organo di amministrazione dell’ente, ad esempio la reportistica dei rischi ICT periodica e a seguito di incidente (compreso il database delle perdite operative), i dati relativi all’esposizione ai rischi ICT da parte della funzione di gestione del rischio dell’ente;
• c. i rilievi degli audit interni ed esterni relativi all’ICT segnalati al comitato per l’audit interno dell’ente.