3.1 Vispārējie apsvērumi

Kompetentajām iestādēm jānovērtē tas, vai iestāde ir pareizi apzinājusi, novērtējusi un mazinājusi IKT riskus. Šim procesam jāiekļaujas operacionālā riska pārvaldības sistēmā un jābūt saderīgam ar pieeju, ko piemēro operacionālajam riskam.

Kompetentajām iestādēm vispirms ir jāapzina būtiskie raksturīgie IKT riski, kuriem ir vai var būt pakļauta iestāde, pēc tam jānovērtē iestādes IKT riska pārvaldības sistēmas, šā riska mazināšanas procedūru un kontroles pasākumu efektivitāte. Novērtējuma rezultāti jāiekļauj to konstatējumu kopsavilkumā, kurus ņem vērā, nosakot operacionālā riska izvērtējumu saskaņā ar pamatnostādnēm par SREP . Ja IKT risku atzīst par būtisku un kompetentās iestādes vēlas tam veltīt atsevišķu izvērtējumu, jāizmanto 1. tabula, izvērtējot to kā operacionālajam riskam pakārtotu risku.

Veicot novērtējumu saskaņā ar šo daļu, kompetentajām iestādēm jāizmanto visi pieejamie informācijas avoti, kā paredzēts EBI pamatnostādņu par SREP 6. sadaļas 127. punktā, piemēram, iestādes riska pārvaldības pasākumi, ziņojumi un rezultāti, kā pamats, lai varētu apzināt uzraudzības novērtējuma prioritātes. Kompetentajām iestādēm jāizmanto arī citi informācijas avoti, veicot šo novērtējumu, tostarp attiecīgā gadījumā šādi:

• a. IKT riska un kontroles pasākumu pašnovērtējumi (ja iesniegti ICAAP informācijā);
• b. ar IKT risku saistītā pārvaldības informācija (PI), kas iesniegta iestādes vadības struktūrai, piemēram, periodiskie un ar notikumiem saistītie IKT riska ziņojumi (tostarp operacionālo zaudējumu datubāzē) un dati par IKT riska darījumiem no iestādes riska pārvaldības vienības;
• c. ar IKT saistītās iekšējās un ārējās revīzijas slēdzieni, kas paziņoti iestādes revīzijas komitejai.