49. Bevoegde autoriteiten toetsen of de instelling passend beleid en passende processen in verband …

Bevoegde autoriteiten toetsen of de instelling passend beleid en passende processen in verband met het ICT-risicobeheer en tolerantiedrempels heeft voor de geïdentificeerde wezenlijke ICT-risico's. Deze kunnen een onderdeel van het kader voor het beheer van operationele risico's of een afzonderlijk document vormen. Hiertoe houden zij rekening met de vraag of:

• a. het beleid inzake risico door het leidinggevend orgaan is geformaliseerd en goedgekeurd en voldoende richtlijnen voor de ICT-risicobereidheid van de instelling en voor de belangrijkste nagestreefde ICT-risicobeheerdoelstellingen en/of toegepaste tolerantiedrempels voor ICT-risico's bevat. Het relevante ICT-risicobeheerbeleid moet ook aan alle relevante belanghebbenden worden gecommuniceerd;
• b. het toepasselijke beleid betrekking heeft op alle belangrijke elementen voor het risicobeheer van de geïdentificeerde wezenlijke ICT-risico's;
• c. de instelling een proces en onderliggende procedures heeft uitgevoerd voor de identificatie (bijv. zelfevaluaties van risico's en risicobeheersing, analyse van risicoscenario's) en bewaking van de betrokken wezenlijke ICT-risico's; en
• d. de instelling een ICT-risicobeheerrapportage heeft dat tijdige informatie aan de directie en het leidinggevend orgaan verschaft en dat de directie en/of het leidinggevend orgaan in staat stelt te beoordelen en te bewaken of de plannen en maatregelen voor de beperking van ICT-risico's van de instelling stroken met de goedgekeurde risicobereidheid en/of tolerantiedrempels (waar relevant) en om zicht te houden op wijzigingen in wezenlijke ICT-risico's.

3.3.2 Kader voor organisatiebeheer en toezicht

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.