9.4 Qafas ta’ kontroll intern

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni ta’ kreditu applikanti għandhiex qafas ta’ kontroll intern xieraq li jkun proporzjonat mal - attivitajiet previsti, il -mudell tan- negozju, il - kumplessità u r - riskji assoċjati tal - istituzzjoni ta’ kreditu (eż. l -onboarding online tal-klijenti, il- protezzjoni u l - arranġamenti taċ - ċibersigurtà). L -awtoritajiet kompetenti għandhom ikunu sodisfatti mill - adegwatezza tar - riżorsi umani allokati kemm f’termini tal - għadd ta’ FTEs kif ukoll tal -kwalifiki, tal- idoneità tas - sistemi u tal - baġit biex jappoġġaw it - twettiq tal -kompiti.

L- awtoritajiet kompetenti għandhom jirrieżaminaw id -dokumenti tal-a pplikazzjoni u jkunu sodisfatti li l - allokazzjoni tal -kompiti u r- responsabbiltajiet se tippermetti lill - korp ta’ ġestjoni jkun jaf bis - sħiħ l - istruttura tal - istituzzjoni ta’ kreditu tagħhom⁴⁹ u “jiżguraw li l - funzjonijiet ta’ kontroll intern ikunu indipendenti mil-linji tan- negozju li jikkontrollaw, inkluż li jkun hemm segregazzjoni adegwata tad - dmirijiet, u li jkollhom ir - riżorsi finanzjarji u umani xierqa kif ukoll setgħat biex iwettqu r - rwol tagħhom b’mod effettiv. Il -linji ta’ rapportar u l- allokazzjon i tar-responsabbiltajiet, b’mod partikolari fost id - detenturi ta’ funzjonijiet ewlenin, fi ħdan l - istituzzjoni ta’ kreditu għandhom ikunu ċari, definiti sew, koerenti, infurzabbli u debitament dokumentati”⁵⁰ .

⁴⁹ Il-paragrafu 71 tal-Linji Gwida tal-EBA dwar il- governanza interna.

⁵⁰ Il-paragrafu 68 tal-Linji Gwida tal-EBA dwar il- governanza interna.

L- awtoritajiet kompetenti għandhom jiksbu viżjoni ċara li l - qafas ta’ kontroll intern ikopri l - oqsma kollha tal - istituzzjoni u jirrifletti t -tliet linji tal-mudell tad- difiża għall - identifikazzjoni tal - funzjonijiet għall - indirizzar u l - ġestjoni tar - riskji.

Għal dan il - għan, l -awtoritajiet kompetenti g ħandhom jivverifikaw li jiġu implimentati arranġamenti biex jiżguraw li n - negozji u l - unitajiet ta’ appoġġ, l - ewwel linja ta’ difiża, ikunu responsabbli l - ewwel nett għall - identifikazzjoni u l - ġestjoni tar - riskji li jġarrbu fit - twettiq tal - attivitajiet tag ħhom u għall - istabbiliment u ż - żamma ta’ proċessi u kontrolli adegwati biex jiġi żgurat li tali riskji jiġu analizzati, imkejla, immonitorjati, irrappurtati kif xieraq u miżmuma fil - limiti tal- aptit għar - riskju tal - istituzzjoni ta’ kreditu u li jkunu konfo rmi mar- rekwiżiti regolatorji interni u esterni.

Il- funzjoni tal - ġestjoni tar - riskji u l - funzjoni tal -konformità, it- tieni linja ta’ difiża, flimkien mal - funzjoni tal - awditjar intern, li hija t - tielet linja ta’ difiża, jiffurmaw il - funzjonijiet ta’ kontrol l intern fi ħdan il - qafas ta’ kontroll intern. L - awtoritajiet kompetenti għandhom jivverifikaw li se jiġu stabbiliti, filwaqt li jqisu l -kriterji tal- proporzjonalità stabbiliti fil -paragrafi 17–21 , u li se jingħataw awtorità, statura u aċċess dirett xierqa u suffiċjenti għall - korp ta’ ġestjoni biex iwettqu l - missjoni tagħhom.

Sabiex jiġi żgurat li l - funzjonijiet ta’ kontroll intern jikkonformaw mar - rekwiżiti ta’ indipendenza⁵¹ , l- awtoritajiet kompetenti għandhom jivverifikaw li, abbażi tad -dokumenti ta’ applikazzjoni, jiġi previst li:

• (a) il- persunal tagħhom ma jwettaqx kompiti operazzjonali li jaqgħu fil - kamp ta’ applikazzjoni tal-attivitajiet li l- funzjonijiet ta’ kontroll intern huma maħsuba li jimmonitorjaw u jikkontrollaw;
• (b) ikunu organizzazzjonalment separati mill - attivitajiet li jkunu assenjati biex jimmonitorjaw u jikkontrollaw;
• (c) minkejja r- responsabbiltà ġenerali tal -membri tal- korp ta’ ġestjoni għall - istituzzjoni, il -kap ta’ funzjoni ta’ kontroll intern ma jkunx subordinat għal persuna li jkollha r - responsabbiltà għall - ġestjoni tal-attivitajiet li l- funzjoni ta’ kontroll intern timmonitorja u tikkontrolla;
• (d) ir- rimunerazzjoni tal - persunal tal - funzjonijiet ta’ kontroll intern m’għandhiex tkun marbuta mal- prestazzjoni tal -attivitajiet li l- funzjoni ta’ kontroll intern timmonitorja u tikkontrolla, u b’xi mod ieħor mhux probabbli li tikkomprometti l - oġġettività tagħhom.

⁵¹ Ara l-paragrafu 175 tal-Linji Gwida tal-EBA dwar il- governanza interna.

L- awtoritajiet kompetenti għandhom jivverifikaw li l -kapijiet tal- funzjonijiet ta’ kontroll intern jissodisfaw ir - rekwiżiti li ġejjin:

• a) jiġu stabbiliti f’livell ġerarkiku adegwat li jipprovdi lill -kap tal- funzjoni ta’ kontroll bl - awtorità xierqa u l - istatura meħtieġa biex i/twettaq ir - responsabbiltajiet tiegħu jew tagħha;
• b) ikunu indipendenti mil-linji tan- negozju jew l - unitajiet li jikkontrollaw;
• c) jirrapportaw u jkunu direttament responsabbli lejn il - korp ta’ ġestjoni, u l - prestazzjoni tagħhom għandha tiġi rieżaminata mill - korp ta’ ġestjoni;
• d) fejn meħtieġ, ikollhom aċċess u jirrapportaw direttament lill - korp ta’ ġestjoni fil - funzjoni superviżorja tiegħu sabiex iqajmu tħassib u jwissu lill - funzjoni superviżorja, fejn xieraq, meta żviluppi speċifiċi jaffettwaw jew ikunu jistgħu jaffettwaw lill - istituzzjoni.

Sabiex jiġi żgurat li l - funzjonijiet ta’ kontroll intern ikunu jistgħu jiġu eżerċitati b’mod effettiv, l-awto ritajiet kompetenti għandhom ikunu sodisfatti li jiġu allokati biżżejjed riżorsi baġitarji u umani bi kwalifiki adegwati, filwaqt li jqisu t - tipi ta’ attivitajiet immirati, u sistema tal - ICT xierqa u appoġġ għad - dispożizzjoni tagħhom.

9.4.2 Funzjoni tal - ġestjoni tar - riskji

L- awtoritajiet kompetenti għandhom ikunu sodisfatti li, bħala parti mill - qafas ta’ kontroll intern, l- istituzzjoni ta’ kreditu jkollha qafas olistiku ta’ ġestjoni tar - riskju li tinkludi l - istituzzjoni ta’ kreditu sħiħa, li jirrikonoxxi bis - sħiħ is - sustanza ekonomika tal - esponimenti għar - riskju kollha tal - istituzzjoni ta’ kreditu.

L- awtoritajiet kompetenti għandhom ikunu sodisfatti li l - funzjoni tal - ġestjoni tar - riskju (RMF) se tiffaċilita l - implimentazzjoni ta’ qafas sod għall - ġestjoni tar - riskj u fl- istituzzjoni kollha u li r - rwol tagħha fi ħdan l - istituzzjoni ta’ kreditu jkopri l - involviment tagħha fi: a) strateġija u deċiżjoni dwar ir - riskju; b) l - evalwazzjoni ta’ bidliet materjali; c) l - identifikazzjoni, il -kejl, il-valutazzjoni, il - ġestjoni, il- mitigazzjoni, il - monitoraġġ u r -rappurtar dwar ir- riskji; d) il - valutazzjoni ta’ ksur ta’ aptit għar - riskju jew limiti u r - rakkomandazzjoni ta’ rimedji. Għal dan il- għan, l - awtoritajiet kompetenti għandhom jirrieżaminaw u jivvalutaw ukoll il - qafas tal - i strateġija għall - ġestjoni ta’ tali riskji u jinkludu dikjarazzjoni ta’ tolleranza u aptit għar - riskju u miżuri biex jallinjaw ir - riskju vvalutat mal - aptit għar - riskju.

Fir -rigward tar-rwol tal- RMF fl - istrateġija tar - riskju u fit - teħid tad - deċiżjonijiet, ir - rieżami tal - awtoritajiet kompetenti għandu jkollu l - għan li jivverifika li l - applikazzjoni tipprevedi l - involviment attiv tal- RMF fi stadju bikri fin - negozju avvjat fl - elaborazzjoni tal - istrateġija tar - riskju tal - istituzzjoni ta’ kreditu, fl - iżgurar li l - istituzzjoni ta’ kreditu jkollha proċessi effettivi ta’ ġestjoni tar - riskju fis - seħħ u li tipprovdi lill - korp ta’ ġestjoni bl - informazzjoni rilevanti kollha relatata mar- riskju biex ikun jista’ jiġi stabbilit il - livell ta’ aptit għar - riskju tal - istituzzjon i ta’ kreditu. L- awtoritajiet kompetenti għandhom jiżguraw li l - RMF tkun prevista li tivvaluta r - robustezza u s - sostenibbiltà tal - istrateġija tar - riskju u l - aptit għar - riskju u li din tal - aħħar tiġi tradotta b’mod xieraq f’limiti speċifiċi tar - riskju, inkluż fil -livell tal-unitajiet tan- negozju, u tkun involuta qabel ma tittieħed deċiżjoni mill - korp ta’ ġestjoni dwar l - istrateġiji tar - riskju.

Fir -rigward tar-rwol tal- RMF fl - evalwazzjoni ta’ bidliet materjali, l -awtoritajiet kompetenti għandhom jivverifikaw li l-involviment tal- RMF ikun previst qabel ma jittieħdu deċiżjonijiet dwar tranżazzjonijiet eċċezzjonali, sabiex jiġi evalwat l - impatt ta’ tali bidliet u tranżazzjonijiet eċċezzjonali fuq ir - riskju ġenerali tal - istituzzjoni ta’ kreditu, u biex jirrapportaw is - sejbiet tiegħu direttament lill- korp ta’ ġestjoni qabel ma tittieħed deċiżjoni.

Fir -rigward tar-rwol tal- RMF fl - identifikazzjoni, il -kejl, il- monitoraġġ, il - mitigazzjoni u r - rapportar tar- riskju u konċentrazzjonijiet tar - riskju assoċjati li għandhom jiġu approvati mill - korp ta’ ġestjoni, l - awtoritajiet kompetenti għandhom jiżguraw li l -politiki u l- proċeduri jkunu fis - seħħ u li l - RMF ikollha aċċess għal -linji tan- negozju kollha u unitajiet oħra li għandhom il - potenzjal li jiġġeneraw riskji.

Ir-rwol tal- RMF għandu jinkludi wkoll il - valutazzjoni indipendenti tal - ksur ta’ aptit jew limiti għar - riskju (inkluż l - aċċertament tal - kawża u t - twettiq ta’ analiżi legali u ekonomika tal - ispiża attwali tal- għeluq, it - tnaqqis jew l - iħħeġġjar tal - esponiment kontra l -k ost potenzjali biex tinżamm). Għandu jkun previst li l - RMF tinforma lill -unitajiet tan- negozju kkonċernati u lill -korp ta’ ġestjoni, u tirrakkomanda rimedji possibbli. Għal dan il - għan, għandha tkun tista’ tirrapporta direttament lill- korp ta’ ġestjoni fil - funzjoni superviżorja tiegħu meta l - ksur ikun materjali, mingħajr preġudizzju għall - RMF biex tirrapporta lil funzjonijiet u kumitati interni oħra.

9.4.3 Politika ta’ rimunerazzjoni

Fir -rigward tal- qafas tal - politika ta’ rimunerazzjoni, minbarra l- valutazzjoni tal -konformità mar-rekwiżiti ta’ newtralità fir - rigward tas - sessi skont l -Artikolu 92(2)(aa) tas - CRD, l -awtoritajiet kompetenti għandhom iqisu b’mod speċifiku biex jivverifikaw li l - qafas tal -politika relatata mal-membri tal- persunal li l -at tivitajiet professjonali tagħhom għandhom impatt materjali fuq il - profil tar- riskju tal - istituzzjoni ta’ kreditu⁵² jkun konformi mal-Artikolu 94 tas - CRD u l - Linji Gwida tal-EBA dwar il- politika ta’ rimunerazzjoni .

⁵² Imressaq skont l - RTS dwar l - informazzjoni għall - awtorizzazzjoni.

B’mod partikolari, huma għandhom jivvalutaw jekk: a) il - qafas tal - politika ta’ rimunerazzjoni huwiex konformi mal - aptit għar - riskju previst tal - istituzzjoni, l - istrateġija tan - negozju tagħha u l- interessi fit - tul tagħha, u huwa previst li jinżamm, jiġi approvat u ssorveljata mill -korp ta’ ġestjoni; b) jipprevedix li l - persunal li jkollu impatt materjali fuq il -profil tar- riskju tal - istituzzjoni jiġix identifikat b’mod xieraq f’konformità mal -Artikolu 92(3) u l-Artikolu 94(3) tas - CRD; c) jipprevedix rekwiżiti speċifiċi ta’ rimunerazzjoni għal dak il - persunal partikolari, fost l - oħrajn (i) proporzjon bejn ir - rimunerazzjoni varjabbli u dik fissa f’konformità mal -punt (g) tal-Artikolu 94(1) tas - CRD u (ii) il - ħlas fi strumenti, l - arranġamenti ta’ differiment inklużi l - malus u l-clawback f’konformità mal-punti (l), (m) u (n) tal-Artikolu 94(1) tas - CRD⁵³ . 9.4.4 Funzjoni tal - konformità

⁵³ B’attenzjoni speċifika għad - derogi previsti fl -Artikolu 94(3) u (4) tas - CRD.

L- awtoritajiet kompetenti għandhom jivverifikaw li huwa previst li l - funzjoni tal - konformità se timmaniġġja r - riskju tal -konformità, tipprovdi pariri lill- korp ta’ ġestjoni dwar il - miżuri li għandhom jittieħdu biex tiġi żgurata l -konformità mal- liġijiet, mar -regoli, mar-regolamenti u mal- istandards applikabbli, u timplimenta, taħt is - sorveljanza tal - korp ta’ ġestjoni, il -politiki u l- proċessi għall - ġestjoni tar - riskji ta’ konformità u biex tiżgura l -konformità. L-awtoritajiet kompetenti għandhom jivverifikaw li l - funzjoni ta’ konformità tkun adegwata għat -tipi u d-distribuzzjoni ġeografika tal - attivitajiet (eż. konformità mal - liġijiet nazzjonali applikabbli ta’ diversi ġurisdizzjoniji et fil- każ ta’ attivitajiet imwettqa fuq bażi transfruntiera), ir - riskji u l - kumplessità f’konformità mal - mudell ta’ negozju u l - valutazzjoni tal - pjan ta’ direzzjoni tan - negozju mwettqa f’konformità mat - taqsima 7 ta’ dawn il-Linji Gwida.

Il- funzjoni ta’ ve rifika tal- konformità għandha tiżgura li l - monitoraġġ tal - konformità jsir permezz ta’ programm strutturat u definit tajjeb ta’ monitoraġġ tal - konformità u li tiġi osservata l - politika ta’ konformità. Għandu jkun previst ukoll li l - funzjoni ta’ konformità u l-RMF jikkooperaw u jiskambjaw informazzjoni kif xieraq biex iwettqu l - kompiti rispettivi tagħhom.

L- awtoritajiet kompetenti għandhom jivverifikaw ukoll li l - funzjoni ta’ konformità tiġi fdata biex tivverifika, f’kooperazzjoni mill - qrib mal - RMF u l -unità legali, li prodotti ġodda u proċeduri ġodda jikkonformaw mal - qafas legali attwali u, fejn xieraq, ma’ kwalunkwe bidla futura magħrufa fil - leġiżlazzjoni, fir -regolamenti u fir- rekwiżiti superviżorji.

L- awtoritajiet kompetenti għandhom jivverifikaw li funzjo ni ta’ konformità tal- AML/CTF għall - konformità mar- regolament speċifiku dwar ML/TF u politiki interni tkun prevista li tiġi stabbilita, jew fi ħdan il - funzjoni ta’ konformità jew separatament minnha.

9.4.5 Politika AML/CFT

L- awtoritajiet kompetenti għandhom jivv erifikaw li l-politika tal- AML/CTF, sottomessa mill - istituzzjoni ta’ kreditu applikanti skont l -Artikolu 5(1), ittra c), nru (iii ) tal- RTS dwar l-informazzjoni għall -awtorizzazzjoni , tipprovdi ħarsa ġenerali tal -politiki u l- proċeduri ewlenin, kif stabbil it fl-Artikolu 8(3) tal- AMLD, li se jiddaħħlu fis - seħħ biex jilqgħu għar - riskju ML/TF. Għal dan il - għan, l - awtoritajiet kompetenti se jqisu l -kriterji tal- proporzjonalità stabbiliti fil - paragrafi 17–21.

L- awtoritajiet kompetenti għandhom jivverifikaw li l - qafas ikopri l - elementi kollha stabbiliti fl - Artikolu 8(4)⁵⁴ tal- AMLD u jissostanzjaw kif l - istituzzjoni ta’ kreditu applikanti se tiżgura li tista’ timmitiga u timmaniġġja b’mod effettiv ir - riskji ML/TF li tkun esposta għalihom mill -jum tal-aċċess għas - suq.

9.4.6 Funzjoni tal - awditu intern

⁵⁴ Dan jaqra: “Il -politiki, il-kontrolli u l- proċeduri msemmija fil - paragrafu 3 għandhom jinkludu: (a) l- iżvilupp ta’ politiki, kontrolli u proċeduri interni, inklużi l - mudelli ta’ prattiki għall - ġestjoni tar - riskju, id - diliġenza dovuta tal-klijenti, ir- rappurtar, iż - żamma tar - rekords, il -kontroll intern, il- ġestjoni tal -konformità inkluż, fejn xieraq, skont id - daqs u n -natura tan- negozju, il - ħatra ta’ uffiċjal tal -konformità fil- livell ta’ ġestjoni u l- verifiki fuq l - impjegati; (b) fejn xieraq, skont id - daqs u n -natura tan- negozju, funzjoni indipendenti ta’ awditu biex tittestja l -politiki, il-kontrolli u l- proċeduri interni msemmija fil -punt (a)”.

L- awtoritajiet kompetenti, filwaqt li jqisu l -kriterji tal- proporzjonalità stabbiliti fil -paragrafi 17– 21 , għandhom jivvalutaw il - funzjoni tal -awditu intern (“IAF”) indipendenti u effettiva stabbilita mill- istituzzjoni ta’ kreditu applikanti. L - awtoritajiet kompetenti għandhom jiksbu viżjoni ċara li l- IAF, skont approċċ ibbażat fuq ir - riskju, se tkun tista’ tirrieżamina b’mod indipendenti u tipprovdi assigurazzjoni oġġettiva tal -konformità tal-attivitajiet u l- unitajiet kollha tal - istituzzjoni ta’ kreditu, inklużi l - attivitajiet esternalizzati, mal -politiki u l- proċeduri tal - istituzzjoni u ma’ rekwiżiti esterni (mhux prudenzjali) oħra.

Għal dan il - għan, l- awtoritajiet kompetenti għandhom jivvalutaw jekk l - IAF għandhiex l - indipendenza organizzattiva tagħha u l - oġġettività tal -awdituri interni protetta mir-rapportar dirett lill- korp ta’ ġestjoni u għandhiex riżorsi adegwati biex twettaq il - kompiti tagħha. Għal dan il- għan, għandu jiġi żgurat ukoll li l - IAF ikollha aċċess bla xkiel fl - istituzzjonijiet kollha għar - rekords, id -dokumenti, l- informazzjoni u l - bini kollha tal - istituzzjoni għat - twettiq tal - funzjoni tagħha.

L- awtoritajiet kompetenti għandhom jivvalu taw ukoll jekk l- IAF hijiex fdata b’mill - inqas dan li ġej:

• (a) l-idoneità tal- qafas ta’ kontroll intern, inkluż l - adegwatezza tal -politika u l- proċeduri u l - konformità mar- rekwiżiti legali u regolatorji;
• (b) l- iżvilupp ta’ pjan ta’ awditjar mill - inqas darba fis - sena abbażi tal -objettivi annwali ta’ kontroll tal- awditjar intern u li għandu jiġi approvat mill - korp ta’ ġestjoni;
• (c) il- preżentazzjoni ta’ rakkomandazzjonijiet ibbażati fuq is - sejbiet tal - attivitajiet tagħhom.

Huma għandhom jivverifikaw ukoll li l - qafas tal - metodoloġija u l -pjan ta’ awditu intern li jkopri l- ewwel tliet snin ta’ attività, inkluż l - awditu ta’ servizzi esternalizzati, ikunu konsistenti mal - istruttura organizzattiva, it -tipi ta’ attivitajiet u l-profil tar- riskju li jirriżultaw mill -pjan ta’ direzzjoni tan - negozju vvalutat skont it - taqsima 7.

9.4.7 Politika u pjan ta’ reżiljenza operazzjonali u ta’ kontinwità tan -negozju

L- oqfsa tal -politika u l-pjan tal-kontinwità tan- negozju għandhom jiżguraw li l -applikant ikollu pjan sod ta’ ġestjoni tal -kontinwità tan- negozju biex jiżgura l - abbiltà tiegħu li jopera fuq bażi kontinwa u biex jillimita t - telf f’każ ta’ tfixkil serju tan - negozju. Għandha tiżgura li l -politika u l-pjan ta’ kontinwità tan- negozju jinkludu analiżi tar - riskji ewlenin ta’ tfixkil tan - negozju u ħarsa ġenerali lejn il - miżuri ta’ mitigazzjoni u tiżgura l - ittestjar regolari tal -pjan ta’ kontinwità tan-negozju.

9.4.8 Politika u sistemi tal -ICT

L- awtoritajiet kompetenti għandhom jivvalutaw jekk il -politika tal- ICT hijiex se tipprovdi lill - istituzzjoni ta’ kreditu b’sistemi affidabbli ta’ informazzjoni u komunikazzjoni u jekk is - sistemi tal- ICT humiex se jkunu kapaċi jappoġġaw bis - sħiħ il - kapaċitajiet ta’ aggregazzjoni tad - data tar-riskju fi żminijiet normali kif ukoll matul żminijiet ta’ stress. B’mod partikolari, l -awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni ta’ kreditu hijiex ser tkun mill - inqas kapaċi:

• (a) tiġġenera data preċiża u affidabbli dwar ir - riskju;
• (b) taqbad u tiġbor id - data tar- riskju materjali kollha fl - istituzzjoni;
• (c) tiġġenera data tar- riskju aggregata u aġġornata fil - ħin;
• (d) tiġġenera data aggregata dwar ir- riskju biex tkun sodisfatta firxa wiesgħa ta’ talbiet li jsiru fuq talba mill - korp ta’ ġestjoni jew mill - awtoritajiet kompetenti;
• (e) tiżgura l - funzjonament sod, affidabbli u sigur tas - sistemi ta’ informazzjoni u komunikazzjoni li jappoġġaw l -attivitajiet immirati tal- istituzzjonijiet.

Fir -rigward tar- riskju tal - ICT u tas - sigurtà⁵⁵ , l- awtoritajiet kompetenti għandhom ikunu sodisfatti li l - qafas ta’ ġestjoni se jiżgura l - funzjonament sod, affidabbli u sigur tas - sistemi ta’ informazzjoni u komunikazzjoni li jappoġġaw l -attivitajiet tal- istituzzjonijiet ta’ kreditu kif ukoll il- prevenzjoni, il - monitoraġġ u l - mitigazzjoni adegwa ti tar- riskji tal - ICT fi żminijiet normali u matul żminijiet ta’ stress. L - awtoritajiet kompetenti għandhom jivvalutaw, b’mod partikolari:

• (a) jekk il- korp ta’ ġestjoni għandux responsabbiltà ġenerali għall - istabbiliment, l - approvazzjoni u s - sorveljanza tal -im plimentazzjoni tal - istrateġija tal - ICT tal - istituzzjonijiet finanzjarji, li għandha tkun allinjata mal - istrateġija ġenerali tan - negozju tal - istituzzjonijiet finanzjarji;
• (b) id- definizzjoni ċara u l - attribuzzjoni ta’ rwoli u responsabbiltajiet ewlenin, u linji ta’ rappurtar rilevanti, biex il - qafas tal - ġestjoni tar - riskju tal - ICT u tas - sigurtà jkun effettiv, inkluża l - allokazzjoni ta’ baġit xieraq biex jiġu appoġġati b’mod adegwat il - ħtiġijiet operazzjonali tal - ICT u l - ġestjoni tar - riskju għas - sigurtà u l - ICT;
• (c) jekk il- ġestjoni u s - sorveljanza tar - riskji tal - ICT u tas - sigurtà humiex fdati lil funzjoni ta’ kontroll indipendenti u oġġettiva, segregata b’mod xieraq mill - proċessi operazzjonali tal - ICT u mhux responsabbli għal kwalunkwe awditu intern, u funzjoni indip endenti ta’ awditu intern;
• (d) l- arranġamenti biex jiġu żgurati l - identifikazzjoni, l - istabbiliment u ż - żamma tal -immappjar aġġornat tal - funzjonijiet tan - negozju, tar -rwoli u tal- proċessi ta’ appoġġ biex tiġi identifikata l- importanza ta’ kull waħda mill -inter dipendenzi tagħhom fir -rigward tar- riskji tal- ICT u tas - sigurtà;
• (e) sa fejn l - informazzjoni tinżamm fuq is - sistemi tal - ICT, jekk ir - rekwiżiti għas - sigurtà tal - informazzjoni humiex se jkunu fis - seħħ;
• (f) l- iskala, il - kumplessità u l - importanza tad - dipendenzi relat ati mal- ICT, jekk tkun prevista l - esternalizzazzjoni tal - funzjonijiet operattivi tas - servizzi tal - ICT u kwalunkwe attività tas - sistemi tal - ICT – inkluż lil entitajiet fi grupp – jew l- użu ta’ partijiet terzi fir -rigward ta’ tali funzjonijiet u attività.

⁵⁵ Kif definit fil - Linji Gwida tal-EBA dwar il- ġestjoni tar - riskju għas - sigurtà tal -ICT , “riskju tal- ICT u tas - sigurtà” tfisser: “Riskju ta’ telf minħabba ksur tal - kunfidenzjalità, nuqqas ta’ integrità tas - sistemi u tad - data , nuqqas ta’ adegwatezza jew nuqqas ta’ disponibbiltà ta’ sistemi u data jew nuqqas ta’ kapaċità li tinbidel it - teknoloġija tal - informazzjoni (IT) fi żmien raġonevoli u bi spejjeż raġonevoli meta jinbidlu r - rekwiżiti ambjentali jew tan - negozju (jiġifieri aġilità). Dan jinkludi riskji għas - sigurtà li jirriżultaw minn proċessi interni inadegwati jew falluti jew avvenimenti esterni inklużi attakki ċibernetiċi jew sigurtà fiżika inadegwata”.