Titel 1 - Algemene bepalingen

Bevoegde autoriteiten voeren de beoordeling van het ICT-risico en de governanceregeling en ICT-strategie als onderdeel van het SREP-proces uit volgens het model van minimale toezichtinspanning en de evenredigheidscriteria die in titel 2 van de SREP-richtsnoeren van EBA worden vermeld. Dit betekent in het bijzonder dat:

• a. de frequentie van de beoordeling van het ICT-risico afhangt van het model van minimale toezichtinspanning dat gehanteerd wordt op basis van de SREP-categorie waarin een instelling is ingedeeld, en het voor de instelling specifieke toezichtsprogramma van de toezichthouder; en,
• b. dat de diepte, gedetailleerdheid en intensiteit van de ICT-beoordeling evenredig dienen te zijn met de omvang, structuur en operationele omgeving van de instelling, evenals met de aard, schaal en complexiteit van haar activiteiten.

Het evenredigheidsbeginsel is in deze richtsnoeren geheel van toepassing ten aanzien van de omvang, de frequentie en de intensiteit van de toezichtsinspanning, de dialoog met de instelling, en de verwachtingen van de toezichthouder met betrekking tot de normen waaraan de instelling dient te voldoen.

Om tot een actueel beeld te komen, mogen bevoegde autoriteiten vertrouwen op, en rekening houden met werkzaamheden die de instelling of de bevoegde autoriteit reeds in het kader van de beoordelingen van andere risico's of SREP-elementen heeft verricht. Bevoegde autoriteiten kiezen bij het verrichten van de in deze richtsnoeren vermelde beoordelingen de aanpak en de methode die het meest geschikt en het meest evenredig is ten aanzien van de instelling, en maken gebruik van bestaande en beschikbare documentatie (bijvoorbeeld relevante verslagen en andere documenten, vergaderingen met het (risico)management, inspecties ter plaatse) als input voor de beoordeling.

Bevoegde autoriteiten maken een samenvatting van bevindingen ten aanzien van de in deze richtsnoeren vermelde criteria, en gebruiken deze als basis om conclusies te trekken ten aanzien van de SREP-elementen zoals genoemd in de in de SREP-richtsnoeren van EBA.

In het bijzonder dient de beoordeling van de governance en ICT-strategie die in overeenstemming met titel 2 van deze richtsnoeren wordt verricht, te leiden tot bevindingen die als input dienen voor de samenvatting van de bevindingen van de beoordeling van de internegovernance- en instellingsbrede risicobeheersingselementen van SREP als beschreven in titel 5 van de SREP-richtsnoeren van EBA, en in de desbetreffende score van dat SREP-element worden weerspiegeld. Verder nemen bevoegde autoriteiten in overweging dat een aanzienlijke nadelige uitwerking van de beoordeling van de ICT-strategie op de bedrijfsstrategie van de instelling of eventuele zorgen dat de instelling niet voldoende ICT-middelen en ICT-capaciteit heeft om belangrijke geplande strategische wijzigingen aan te brengen en te ondersteunen, als input dient voor de analyse van het bedrijfsmodel die in overeenstemming met titel 4 van de SREP-richtsnoeren van EBA wordt verricht.

De uitkomsten van de beoordeling van de in titel 3 van deze richtsnoeren vermelde ICT-risico's dienen als input voor de bevindingen van de beoordeling van het operationele risico en worden geacht als input te dienen voor de relevante score als bedoeld in titel 6.4 van de SREP-richtsnoeren van EBA.

Doorgaans beoordelen bevoegde autoriteiten subcategorieën als onderdeel van de hoofdcategorieën (d.w.z. ICT-risico's worden beoordeeld als onderdeel van het operationele risico), maar wanneer bevoegde autoriteiten bepaalde subcategorieën wezenlijk achten, mogen zij die subcategorieën afzonderlijk beoordelen. Met het oog hierop bevatten deze richtsnoeren ook een scoretabel (tabel 1), voor het geval dat de bevoegde autoriteit het ICT-risico als wezenlijk aanmerkt. Die tabel moet in dat geval worden gebruikt om een zelfstandige subcategoriescore voor ICT-risico's vast te stellen volgens de algehele aanpak voor het toekennen van scores aan kapitaalrisico's in de SREP-richtsnoeren van EBA.

Om te bepalen of ICT-risico's als wezenlijk dienen te worden beschouwd en het dus mogelijk dient te zijn om ICT-risico's als een afzonderlijke subcategorie van het operationele risico te beoordelen en daaraan scores toe te kennen, mogen bevoegde autoriteiten de in paragraaf 6.1 van de SREP-richtsnoeren van EBA vermelde criteria hanteren.

Bij de toepassing van deze richtsnoeren kijken bevoegde autoriteiten, waar relevant, naar de niet-volledige lijst van ICT-risicosubcategorieën en risicoscenario's die in de bijlage worden beschreven; hierbij dient in het achterhoofd te worden gehouden dat het in deze bijlage gaat om ICT-risico's die tot verliezen met een grote impact kunnen leiden. Bevoegde autoriteiten mogen sommige in de taxonomie opgenomen ICT-risico's uitsluiten als deze voor hun beoordeling niet relevant zijn. Van instellingen wordt verwacht dat zij hun eigen risicotaxonomieën handhaven en niet de in de bijlage beschreven risicotaxonomie gebruiken.

Wanneer deze richtsnoeren worden toegepast op grensoverschrijdende bankgroepen, en de entiteiten ervan en er een college van toezichthouders is ingesteld, stemmen betrokken bevoegde autoriteiten in het kader van hun samenwerking met het oog op de beoordeling van het SREP overeenkomstig paragraaf 11.1 van de SREP-richtsnoeren van EBA de exacte en gedetailleerde reikwijdte van elk informatieonderdeel zo veel mogelijk consequent voor alle groepsentiteiten op elkaar af.