2.1 Algemene beginselen

Bevoegde autoriteiten beoordelen of in het algemene kader voor governance en interne risicobeheersing van de instelling de ICT-systemen en de bijbehorende risico's naar behoren zijn opgenomen, en of het leidinggevende orgaan voldoende naar deze aspecten kijkt en er adequaat mee omgaat. ICT is immers essentieel voor het juist functioneren van een instelling.

Tijdens deze beoordeling maken bevoegde autoriteiten gebruik van de vereisten en normen voor ten aanzien van goede interne governance en risicobeheersing, zoals vermeld in de EBA-richtsnoeren inzake interne governance (GL 44)⁴ en internationale richtsnoeren op dit terrein voor zover deze van toepassing zijn gezien het specifieke karakter van ICT-systemen en risico's.

⁴ EBA-richtsnoeren inzake interne governance, GL 44, 27 september 2011.

De in deze titel beschreven beoordeling heeft geen betrekking op de specifieke onderdelen van de governance, het risicobeheer en de risicobeheersing in verband met ICT-systemen die gericht zijn op het beheren van specifieke ICT-risico's die in titel 3 van deze richtsnoeren aan de orde komen, maar richt zich op de volgende gebieden:

• a. ICT-strategie: - of de instelling een ICT-strategie heeft die adequaat wordt beheerd en in lijn is met de bedrijfsstrategie van de instelling;
• b. algehele interne governance: - of de regelingen voor de algehele interne governance van de instelling toereikend zijn voor de ICT-systemen van de instelling; en
• c. ICT-risico als onderdeel van het risicobeheer raamwerk van de instelling: of het risico management en de interne beheersing van de instelling de ICT-systemen van de instelling voldoende beschermt.

Werkzaamheden volgend uit punt a) onder paragraaf 22leiden tot informatie over onderdelen van de governance van de instelling. Echter, deze informatie dient voornamelijk te worden toegepast bij de beoordeling van het bedrijfsmodel zoals besproken in titel 4 van de EBA SREP-richtsnoeren. De punten

• b) en c) bieden een verdere aanvulling ten behoeve van de beoordeling van onderwerpen die behandeld worden in titel 5 van de EBA SREP-richtsnoeren. De in deze richtsnoeren beschreven beoordeling dient als input voor de desbetreffende beoordeling op grond van titel 5 van de SREP-richtsnoeren van EBA.

De uitkomsten van deze beoordeling worden, waar relevant, meegenomen in de beoordeling van het risicobeheer en de risicobeheersing die in titel 3 van deze richtsnoeren aan de orde komt.