2.4 IKT risks iestādes riska pārvaldības sistēmā

Novērtējot iestādes riska pārvaldību un iekšējās kontroles pasākumus iestādes līmenī, kā paredzēts EBI pamatnostādņu par SREP 5. sadaļā, kompetentajām iestādēm jāapsver, vai iestādes riska pārvaldības un iekšējās kontroles sistēma pietiekami aizsargā iestādes IKT sistēmas tādā mērā, kas ir samērojams ar iestādes lielumu un darbību un tās IKT riska profilu, kā noteikts 3. sadaļā. Jo īpaši kompetentajām iestādēm jānosaka, vai:

• a. vēlme uzņemties risku un ICAAP attiecas uz IKT riskiem kā daļu no plašākas operacionālā riska kategorijas, lai varētu definēt vispārējo riska stratēģiju un noteikt iekšējo kapitālu; un
• b. IKT riski ietilpst iestādes līmeņa riska pārvaldības un iekšējās kontroles sistēmu piemērošanas jomā.

Kompetentajām iestādēm jāveic novērtējums saskaņā ar iepriekš esošo a) apakšpunktu, ņemot vērā gaidāmo un arī nelabvēlīgo scenāriju, piemēram, scenārijus, kas iekļauti konkrētās iestādes vai uzraudzības spriedzes testā.

Īpaši ņemot vērā b) apakšpunktu, kompetentajām iestādēm jānovērtē, vai neatkarīgās kontroles un iekšējās revīzijas vienības, kas minētas EBI pamatnostādņu par SREP 104. punkta a) un d) apakšpunktā un 105. punkta a) un c) apakšpunktā, ir piemērotas, lai varētu nodrošināt pietiekamu neatkarības līmeni starp IKT un kontroles un revīzijas vienībām, ņemot vērā iestādes lielumu un IKT riska profilu.