3.2 Reikšmingos IRT rizikos nustatymas

Imdamosi toliau nurodytų veiksmų, kompetentingos institucijos turėtų nustatyti reikšmingą įstaigai kylančią arba galinčią kilti IRT riziką.

3.2.1 Įstaigos IRT rizikos profilio patikra

Tikrindamos įstaigos IRT rizikos profilį, kompetentingos institucijos turėtų atsižvelgti į visą svarbią informaciją apie įstaigos IRT rizikos pozicijas, įskaitant 37 punkte nurodytą informaciją, taip pat į nustatytus reikšmingus šių gairių 2 antraštinėje dalyje nurodytos IRT organizacijos ir visos įstaigos kontrolės priemonių trūkumus arba silpnuosius aspektus ir, jei taikoma, proporcingai patikrinti šią informaciją. Atlikdamos šią patikrą, kompetentingos institucijos turėtų atsižvelgti į:

• a. galimą reikšmingo įstaigos IRT sistemų sutrikimo poveikį šalies arba tarptautinio lygmens finansų sistemai;
• b. tai, ar įstaigai gali kilti IRT saugumo rizika arba IRT prieinamumo ir tęstinumo rizika dėl priklausomumo nuo interneto, įdiegtų gausių novatoriškų IRT sprendimų arba kitų verslo platinimo kanalų, dėl kurių labiau tikėtina, kad ji gali tapti kibernetinių išpuolių taikiniu;
• c. tai, ar įstaigai gali kilti didesnė IRT saugumo rizika, IRT prieinamumo ir tęstinumo rizika, IRT duomenų vientisumo rizika arba IRT pakeitimų rizika dėl jos IRT sistemų sudėtingumo (pvz., dėl susiliejimo arba įsigijimų) arba senumo;
• d. tai, ar įstaiga įgyvendina reikšmingus savo IRT sistemų ir (arba) IRT funkcijos pakeitimus (pvz., dėl susiliejimo, įsigijimų, investicijų pardavimo arba pagrindinių IRT sistemų pakeitimo), galinčių turėti neigiamą poveikį IRT sistemų stabilumui arba tinkamam veikimui ir kelti reikšmingą IRT prieinamumo ir tęstinumo riziką, IRT saugumo riziką, IRT pakeitimų riziką arba IRT duomenų vientisumo riziką;
• e. tai, ar įstaiga perka IRT paslaugas arba IRT sistemas iš grupės arba ne grupės subjektų ir dėl to jai gali kilti reikšminga IRT paslaugų pirkimo rizika;
• f. tai, ar įstaiga įgyvendina drastiškas IRT sąnaudų mažinimo priemones, dėl kurių gali sumažėti reikiamos IRT investicijos, ištekliai, IT praktinė patirtis ir padidėti visų rūšių į klasifikaciją įtraukta IRT rizika;
• g. tai, ar svarbios IRT veiklos ir (arba) duomenų centrų vietovėse (pvz., regionuose, šalyse) įstaigai kyla pavojus dėl gaivalinių nelaimių (pvz., potvynių, žemės drebėjimų), politinio nestabilumo arba darbo konfliktų ir pilietinių neramumų, dėl kurių gali reikšmingai padidėti IRT prieinamumo ir tęstinumo rizika ir IRT saugumo rizika.

3.2.2 Ypatingos svarbos IRT sistemų ir paslaugų patikra

Siekdamos nustatyti IRT riziką, galinčią turėti įstaigai prudencinį poveikį, kompetentingos institucijos turėtų patikrinti įstaigos dokumentus ir susidaryti nuomonę dėl to, kurios IRT sistemos ir paslaugos yra itin svarbios tinkamam su esmine įstaigos veikla susijusiam veikimui, prieinamumui, tęstinumui ir saugumui.

Šiuo tikslu kompetentingos institucijos turėtų tikrinti įstaigos taikomą ypatingos svarbos IRT sistemų ir paslaugų nustatymo metodiką ir procesus, atsižvelgdamos į tai, kad kai kurias IRT sistemas ir paslaugas įstaiga gali laikyti ypatingos svarbos dėl veiklos tęstinumo ir prieinamumo, saugumo (pvz., sukčiavimo prevencijos) ir (arba) konfidencialumo (pvz., konfidencialių duomenų). Atlikdamos šią patikrą, kompetentingos institucijos turėtų atsižvelgti į tai, kad ypatingos svarbos IRT sistemos ir paslaugos turėtų atitikti bent vieną iš šių sąlygų:

• a. jomis palaikomos įstaigos esminės veiklos operacijos ir platinimo kanalai (pvz., bankomatai, internetinė ir mobilioji bankininkystė);
• b. jomis palaikomi esminiai valdymo procesai ir organizacinės funkcijos, įskaitant rizikos valdymą (pvz., rizikos valdymo ir iždo valdymo sistemos);
• c. joms taikomi specialūs teisiniai arba reguliavimo reikalavimai (jei tokių reikalavimų yra), kuriais kai kurioms sisteminės svarbos paslaugoms nustatomi (jei taikoma) griežtesni prieinamumo, atsparumo, konfidencialumo arba saugumo reikalavimai (pvz., duomenų apsaugos teisės aktai arba galimi RTO (angl. Recovery Time Objectives – ilgiausias laikotarpis, per kurį po incidento sistemą arba procesą būtina atkurti) ir RPO (angl. Recovery Point Objective – ilgiausias laikotarpis, per kurį, įvykus incidentui, gali būti prarasti duomenys) tikslai;
• d. jomis apdorojami ir jose saugomi konfidencialūs arba neskelbtini duomenys, su kuriais susijusi neteisėta prieiga galėtų turėti reikšmingos įtakos įstaigos reputacijai, finansiniams rezultatams arba veiklos patikimumui ir tęstinumui (pvz., duomenų bazėms, kuriose saugomi neskelbtini klientų duomenys); ir (arba)
• e. jomis teikiamos pagrindinės funkcijos, gyvybiškai svarbios, kad įstaiga galėtų tinkamai veikti (pvz., telekomunikacijų ir ryšių paslaugos, IRT ir kibernetinio saugumo paslaugos).

3.2.3 Ypatingos svarbos IRT sistemoms ir paslaugoms kylančios reikšmingos IRT rizikos nustatymas

Atsižvelgdamos į pirmiau nurodytas įstaigos IRT rizikos profilio ir ypatingos svarbos IRT sistemų ir paslaugų patikras, kompetentingos institucijos turėtų susidaryti nuomonę dėl reikšmingos IRT rizikos, kuri, remiantis priežiūrinėmis išvadomis, gali turėti reikšmingą prudencinį poveikį įstaigos ypatingos svarbos IRT sistemoms ir paslaugoms.

Vertindamos galimą IRT rizikos poveikį įstaigos ypatingos svarbos IRT sistemoms ir paslaugoms, kompetentingos institucijos turėtų atsižvelgti į:

• a. finansinį poveikį, įskaitant (bet ne tik) lėšų arba turto praradimą, galimą atlyginimą klientams, teisines ir ištaisymo išlaidas, sutartinę žalą, prarastas pajamas;
• b. galimą veiklos sutrikimą, atsižvelgiant (be kita ko) į susijusių finansinių paslaugų svarbą; galimai susijusių klientų ir (arba) filialų ir darbuotojų skaičių;
• c. galimą poveikį įstaigos reputacijai, remiantis susijusios bankininkystės paslaugos arba operacinės veiklos svarba (pvz., klientų duomenų vagystė); susijusių IRT sistemų ir paslaugų išoriniu profiliu ir (arba) matomumu (pvz., mobiliosios arba internetinės bankininkystės sistemos, pardavimo vieta, bankomatas arba mokėjimo sistemos);
• d. reguliavimo poveikį, įskaitant viešai pareikštą reguliavimo institucijų nepasitikėjimą, baudas arba net leidimų keitimą.
• e. strateginį poveikį įstaigai, pvz., jei pakenkiama strateginiams produktams ar verslo planams arba jei šie produktai ar planai pavagiami.

Paskui kompetentingos institucijos reikšminga laikomą nustatytą IRT riziką turėtų priskirti prie toliau nurodytų IRT rizikos kategorijų; į jas patenkanti rizika papildomai aprašyta ir jos pavyzdžių pateikta priede. Atlikdamos 3 antraštinėje dalyje nurodytą vertinimą, kompetentingos institucijos turėtų atsižvelgti į priede nurodytą IRT riziką:

• a. IRT prieinamumo ir tęstinumo riziką,
• b. IRT saugumo riziką,
• c. IRT pakeitimų riziką,
• d. IRT duomenų vientisumo riziką,
• e. IRT paslaugų pirkimo riziką.

Priskiriant šią riziką, kompetentingoms institucijoms turėtų būti lengviau nustatyti, kuri rizika yra reikšminga (jei tokios rizikos yra), ir todėl turėtų būti atliekamas atidesnis ir (arba) išsamesnis tikrinimas atliekant toliau nurodytus vertinimo veiksmus.