1. sadaļa. Vispārēji noteikumi

Kompetentajām iestādēm jāveic IKT riska un pārvaldības mehānisma un IKT stratēģijas novērtējums SREP procesa ietvaros, izmantojot minimālās iesaistīšanās modeli un proporcionalitātes kritērijus, kas minēti EBI pamatnostādņu par SREP 2. sadaļā. Tas jo īpaši nozīmē, ka:

• a. IKT riska novērtējuma biežums būs atkarīgs no minimālās iesaistīšanās modeļa, ko nosaka iestādei piešķirtā SREP kategorija un tās konkrētā uzraudzības pārbaudes programma; un
• b. IKT novērtējuma dziļumam, detalizācijas pakāpei un intensitātei jābūt proporcionālai iestādes lielumam, struktūrai un operacionālajai videi, kā arī tās darbību raksturam, mērogam un sarežģītībai.

Visās šajās pamatnostādnēs proporcionalitātes principu piemēro uzraudzības iesaistes un dialoga ar iestādi apjomam, biežumam un intensitātei, un uzraudzības priekšstatiem par to, kādi standarti iestādei jāievēro.

Kompetentās iestādes var izmantot un ņemt vērā to darbu, ko iestāde vai kompetentā iestāde jau paveikusi saistībā ar citu risku vai SREP elementu novērtējumiem, lai varētu atjaunināt savu novērtējumu. Konkrēti, veicot šajās pamatnostādnēs minētos novērtējumus, kompetentajām iestādēm jāizvēlas vispiemērotākā uzraudzības novērtējuma metode un tāda metodika, kas ir vispiemērotākā un ir samērīga ar iestādi, tāpat kompetentajām iestādēm jāizmanto arī esošie un pieejamie dokumenti (piemēram, attiecīgie ziņojumi un citi dokumenti, sanāksmes ar (riska) pārvaldītājiem un konstatējumi uz vietas veiktās pārbaudēs), lai papildinātu kompetento iestāžu vērtējumu.

Kompetentajām iestādēm jāapkopo konstatējumi savos novērtējumos par šajās pamatnostādnēs minētajiem kritērijiem un jāizmanto tie, lai izdarītu secinājumus par SREP elementu novērtējumu, kā norādīts EBI pamatnostādnēs par SREP .

Jo īpaši novērtējumam par pārvaldību un IKT stratēģiju, kas veikts saskaņā ar šo pamatnostādņu 2. sadaļu, jārada secinājumi, kas informē par to konstatējumu kopsavilkumu, kuri iegūti, novērtējot iekšējo pārvaldību un iestādes mēroga kontroles pasākumus attiecībā uz katru SREP elementu, kā norādīts EBI pamatnostādņu par SREP 5. sadaļā, un tiem jāsniedz attiecīgs minētā SREP elementa izvērtējums. Kompetentajām iestādēm jāņem vērā arī tas, ka jebkura būtiska nelabvēlīga IKT stratēģijas novērtējuma ietekme uz iestādes darbības stratēģiju vai jebkuras bažas par to, ka iestādei var nepietikt IKT resursu un IKT spēju, lai varētu veikt un atbalstīt svarīgas plānotās stratēģiskās izmaiņas, ir jāiekļauj uzņēmējdarbības modeļa analīzē, kas veikts saskaņā ar EBI SREP pamatnostādņu 4. sadaļu.

IKT riska novērtējuma rezultāti, kā norādīti šo pamatnostādņu 3. sadaļā, jāņem vērā operacionālā riska novērtējuma secinājumos un jāuzskata par tādiem, kas ietekmē attiecīgo izvērtējumu, kā norādīts EBI pamatnostādņu par SREP 6.4. punktā.

Jāpiebilst, ka, lai gan vispārīgi kompetentajām iestādēm jāvērtē risku apakškategorijas pamatkategoriju ietvaros (t. i., IKT risks jāvērtē operacionālā riska ietvaros), ja kompetentās iestādes tomēr uzskata kādu apakškategoriju par būtisku, tās var vērtēt katru šādu apakškategoriju individuāli. Šim nolūkam, ja kompetentā iestāde atzīst IKT risku par būtisku, šīs pamatnostādnes ietver arī izvērtējuma tabulu (1. tabula), kas izmantojama, lai sniegtu atsevišķu apakškategorijas izvērtējumu IKT riskam, ievērojot EBI pamatnostādņu par SREP vispārējo pieeju tam, kā vērtējami kapitāla riski.

Lai noskaidrotu, vai IKT risks jāuzskata par būtisku un tādēļ to var novērtēt un piešķirt tam izvērtējumu kā atsevišķai operacionālā riska apakškategorijai, kompetentās iestādes var izmantot kritērijus, kas minēti EBI pamatnostādņu par SREP 6.1. punktā.

Piemērojot šīs pamatnostādnes, kompetentajām iestādēm attiecīgā gadījumā jāizskata pielikumā iekļautais neizsmeļošais saraksts ar IKT riska apakškategorijām un riska scenārijiem, ņemot vērā to, ka pielikums raksturo tos IKT riskus, kuri var radīt īpaši smagus zaudējumus. Kompetentās iestādes var izslēgt kādus IKT riskus, kas iekļauti šajā taksonomijā, ja tie nav būtiski novērtējumam. Paredzams, ka iestādes veidos pašas savu riska klasifikāciju, nevis izmantos pielikumā iekļauto IKT risku taksonomiju.

Ja šīs pamatnostādnes piemēro saistībā ar pārrobežu banku grupām un to vienībām un ir izveidota uzraudzības kolēģija, iesaistītajām kompetentajām iestādēm sadarbības ietvaros, ko tās īsteno saistībā ar SREP novērtējumu saskaņā ar EBI pamatnostādņu par SREP 11.1. punktu, visām grupas vienībām pēc iespējas konsekventāk būtu jāsaskaņo precīzi un sīki definētā katra informācijas elementa darbības joma.