61. A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un parere …

A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un parere sul rischio ICT dell’ente. Detto parere dovrebbe riflettersi in una sintesi dei risultati che le autorità competenti dovrebbero prendere in considerazione al momento dell’assegnazione di un punteggio per il rischio operativo di cui alla tabella 6 degli Orientamenti dell’ABE sullo SREP. Le autorità competenti dovrebbero basare il proprio parere sui rischi ICT rilevanti, tenendo conto delle considerazioni che seguono per contribuire alla valutazione dei rischi operativi:

• a. Considerazioni in materia di rischi
• i. esposizione ai rischi e profilo di rischio ICT dell’ente;
• ii. sistemi e servizi ICT critici identificati; e
• iii. livello di rilevanza dei rischi ICT in relazione ai sistemi ICT critici.
• b. Considerazioni in materia di gestione e controlli
• i. se la politica e la strategia di gestione dei rischi ICT dell’ente siano coerenti con la sua strategia generale e la propensione al rischio;
• ii. se il framework organizzativo per la gestione dei rischi ICT sia solido, con responsabilità definite chiaramente e una netta separazione dei compiti tra i responsabili dei rischi e le funzioni di gestione e controllo;
• iii. se i sistemi di misurazione, monitoraggio e segnalazione dei rischi ICT siano adeguati; e
• iv. se i framework di controllo per i rischi ICT rilevanti siano solidi.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/