49. Le autorità competenti dovrebbero verificare se l’ente disponga di politiche, processi, e …

Le autorità competenti dovrebbero verificare se l’ente disponga di politiche, processi, e soglie di tolleranza adeguati per la gestione dei rischi ICT rilevanti identificati. Questi possono fare parte del sistema di gestione dei rischi operativi o di un documento separato. Ai fini della valutazione, le autorità competenti dovrebbero considerare se:

• a. la politica di gestione dei rischi è formalizzata e approvata dall’organo di amministrazione e fornisce linee guida sufficienti sulla propensione al rischio ICT dell’ente e sui principali obiettivi di gestione dei rischi ICT e/o sulle relative soglie di tolleranza applicate. Inoltre, la politica di gestione dei rischi ICT dovrebbe essere comunicata a tutte le parti interessate;
• b. la suddetta politica copre tutti gli elementi significativi per la gestione dei rischi ICT rilevanti individuati;
• c. l’ente ha attuato un processo e procedure sottostanti per l’identificazione (ad es. autovalutazioni del controllo dei rischi (RCSA), analisi dello scenario di rischio) e il monitoraggio dei rischi ICT rilevanti;
• d. l’ente dispone di una reportistica relativa alla gestione dei rischi ICT che fornisce informazioni tempestive all’alta dirigenza e all’organo di amministrazione e che permette all’alta dirigenza e/o all’organo di amministrazione di valutare e monitorare se i piani e le misure di mitigazione dei rischi ICT degli enti siano coerenti con la propensione al rischio approvata e/o con le soglie di tolleranza (laddove pertinenti) e di monitorare i cambiamenti dei rischi ICT rilevanti.

3.3.2 Sistema di gestione organizzativa e controllo

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/