+Orientamenti (EBA/GL/2017/05)
---+1. Conformità e obblighi di comunicazione
------+Status giuridico degli orientamenti
---------+1. Il presente documento contiene orientamenti emanati in applicazione dell’articolo 16 del …
---------+2. Gli orientamenti presentano la posizione dell’ABE in merito alle prassi di vigilanza adeguate …
------+Obblighi di comunicazione
---------+3. Ai sensi dell’articolo 16, paragrafo 3, del regolamento (UE) n. 1093/2010, le autorità …
---------+4. Le comunicazioni sono pubblicate sul sito web dell’ABE ai sensi dell’articolo 16, paragrafo 3. 1 …
---+2. Oggetto, ambito di applicazione e definizioni
------+Oggetto e ambito di applicazione
---------+5. I presenti orientamenti, redatti in conformità dell’articolo 107, paragrafo 3, della direttiva …
---------+6. Le autorità competenti dovrebbero attenersi ai presenti orientamenti conformemente al livello di …
------+Destinatari
---------+7. I presenti orientamenti sono rivolti alle autorità competenti di cui all’articolo 4, paragrafo …
------+Definizioni
---------+8. Se non diversamente specificato, i termini utilizzati e definiti nella direttiva 2013/36/UE, nel …
---+3. Attuazione
------+Data di applicazione
---------+9. I presenti orientamenti si applicano a partire dal 1° gennaio 2018.
---+4. Requisiti in materia di valutazione dei rischi ICT
---+Titolo 1 - Disposizioni generali
------+10. Le autorità competenti dovrebbero effettuare la valutazione dei rischi ICT, della governance e …
------+11. Nei presenti orientamenti, il principio di proporzionalità si applica all’ambito di …
------+12. Le autorità competenti possono prendere in considerazione il lavoro svolto in precedenza …
------+13. Le autorità competenti dovrebbero riassumere i risultati delle valutazioni dei criteri …
------+14. In particolare, i risultati della valutazione della governance e della strategia riguardante …
------+15. L’esito della valutazione dei rischi ICT, come specificato nel titolo 3 dei presenti …
------+16. Si noti che, mentre in generale le autorità competenti dovrebbero valutare le sottocategorie …
------+17. Per decidere quando il rischio ICT sia da considerare rilevante e, di conseguenza, se vi sia la …
------+18. Nell’applicazione dei presenti orientamenti, le autorità competenti dovrebbero, se del caso …
------+19. Laddove i presenti orientamenti si applichino ai gruppi bancari transfrontalieri e alle loro …
---+Titolo 2 - Valutazione della governance e della strategia degli enti in materia di ICT
------+2.1 Principi generali
---------+20. Le autorità competenti dovrebbero valutare se i sistemi di governance e di controllo interno …
---------+21. Durante l’esecuzione di tale valutazione, le autorità competenti dovrebbero fare riferimento ai …
---------+22. La valutazione di cui al presente titolo non copre gli elementi specifici della governance …
---------+23. Il punto a) di cui al paragrafo 22, pur fornendo informazioni sugli elementi relativi alla …
---------+24. L’esito della presente valutazione dovrebbe incidere, se del caso, sulla valutazione della …
------+2.2 Strategia ICT
---------+25. In conformità della presente sezione, le autorità competenti dovrebbero valutare se l’ente …
---------+26. Le autorità competenti dovrebbero verificare che l’ente disponga di un framework per la …
---------+27. Laddove la strategia ICT dell’ente richieda l’attuazione di modifiche all’ICT importanti e …
------+2.3 Governance generale
---------+28. In conformità del titolo 5 degli Orientamenti dell’ABE sullo SREP, le autorità competenti …
---------+29. In conformità della sezione 5.2 degli Orientamenti dell’ABE sullo SREP, le autorità competenti …
------+2.4 Rischi ICT nel sistema di gestione del rischio
---------+30. Nel valutare la gestione dei rischi e dei controlli interni dell’ente, come previsto dal titolo …
---------+31. Le autorità competenti dovrebbero effettuare la valutazione di cui al precedente punto a) …
---------+32. Con particolare riguardo al punto b), le autorità competenti dovrebbero valutare se le funzioni …
------+2.5 Sintesi dei risultati
---------+33. Tali risultati dovrebbero riflettersi in un riepilogo dei rilievi, ai sensi del titolo 5 degli …
---------+34. Per concludere la suddetta valutazione, i seguenti punti dovrebbero essere considerati ai fini …
---+Titolo 3 - Valutazione dell’esposizione ai rischi ICT e dei relativi controlli degli enti
------+3.1 Considerazioni generali
---------+35. Le autorità competenti dovrebbero valutare se l’ente abbia adeguatamente individuato, valutato …
---------+36. Le autorità competenti dovrebbero innanzitutto individuare i rischi ICT intrinseci rilevanti a …
---------+37. Durante la valutazione di cui al presente titolo, le autorità competenti dovrebbero utilizzare …
------+3.2 Identificazione dei rischi ICT rilevanti
---------+38. Le autorità competenti dovrebbero identificare i rischi ICT rilevanti a cui l’ente è o potrebbe …
---------+39. Durante la revisione del profilo di rischio ICT dell’ente, le autorità competenti dovrebbero …
---------+40. Nell’ambito del processo di identificazione dei rischi ICT che possano avere un potenziale …
---------+41. A tal fine, le autorità competenti dovrebbero esaminare la metodologia e i processi applicati …
---------+42. Tenendo conto delle analisi condotte sul profilo di rischio ICT dell’ente e dei sistemi e …
---------+43. Per la valutazione dell’impatto potenziale dei rischi ICT sui sistemi e sui servizi ICT critici …
---------+44. Le autorità competenti dovrebbero pertanto effettuare una mappatura dei rischi ICT considerati …
------+3.3 Valutazione dei controlli per mitigare i rischi ICT rilevanti
---------+45. Per valutare l’esposizione residua ai rischi ICT dell’ente, le autorità competenti dovrebbero …
---------+46. A tal fine, per i rischi ICT rilevanti identificati, le autorità competenti dovrebbero …
---------+47. La valutazione dovrebbe tenere in considerazione l’esito dell’analisi del sistema di gestione …
---------+48. Le autorità competenti dovrebbero svolgere le seguenti fasi di valutazione in modo …
---------+49. Le autorità competenti dovrebbero verificare se l’ente disponga di politiche, processi, e …
---------+50. Le autorità competenti dovrebbero valutare come i ruoli e le responsabilità relativi alla …
---------+51. Le autorità competenti dovrebbero valutare se la funzione di audit interno svolga in modo …
---------+52. Le autorità competenti dovrebbero valutare se l’ente disponga di specifici controlli per …
---------+53. Oltre ai requisiti di cui agli Orientamenti dell’ABE sullo SREP (paragrafi 279-281), le …
---------+54. Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se …
---------+55. Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per …
---------+56. Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per …
---------+57. Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per …
---------+58. Per gli enti sottoposti a vigilanza che rientrano nel campo di applicazione dei “Principi in …
---------+59. Le autorità competenti dovrebbero valutare se la strategia di esternalizzazione dell’ente, in …
---------+60. In particolare, le autorità competenti dovrebbero valutare se l’ente disponga di un framework …
------+3.4 Sintesi dei risultati e punteggio
---------+61. A seguito della valutazione di cui sopra, le autorità competenti dovrebbero formulare un parere …
---------+62. Se le autorità competenti ritengono che il rischio ICT sia rilevante e l’autorità competente …
---------+Allegato – Classificazione dei rischi ICT
 English - European Union - Financial Industry -

Orientamenti (EBA/GL/2017/05)

Orientamenti (EBA/GL/2017/05)

https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities/supervisory-review-and-evaluation-process-srep-and-pillar-2/guidelines-ict-risk-assessment-under-srep – PDF

1. Panoramica

,
1. Conformità e obblighi di comunicazione

1. Conformità e obblighi di comunicazione
2. Oggetto, ambito di applicazione e definizioni

2. Oggetto, ambito di applicazione e definizioni
3. Attuazione

3. Attuazione
4. Requisiti in materia di valutazione dei rischi ICT

4. Requisiti in materia di valutazione dei rischi ICT
Titolo 1 - Disposizioni generali

Titolo 1 - Disposizioni generali
Titolo 2 - Valutazione della governance e della strategia degli enti in materia di ICT

Titolo 2 - Valutazione della governance e della strategia degli enti in materia di ICT
Titolo 3 - Valutazione dell’esposizione ai rischi ICT e dei relativi controlli degli enti

Titolo 3 - Valutazione dell’esposizione ai rischi ICT e dei relativi controlli degli enti

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

Requisiti

3. Standard correlati

Standard
  • EBA - Published by the European Banking Authority at https://www.eba.europa.eu/