2.4 ICT-risico in het risicobeheerkader van de instelling

Bij de beoordeling van het instellingsbrede risicobeheer en de interne risicobeheersing, als bedoeld in titel 5 van de SREP-richtsnoeren van EBA, bekijken bevoegde autoriteiten of het kader voor risicobeheer en interne risicobeheersing van de instelling de ICT-systemen van de instelling adequaat beschermt op een manier die past bij de omvang en activiteiten van de instelling en haar risicoprofiel als beschreven in titel 3. Bevoegde autoriteiten bepalen met name of:

• a. de risicobereidheid en de Icaap betrekking hebben op de ICT-risico's, als onderdeel van de bredere categorie van het operationele risico, met het oog op de omschrijving van de algehele risicostrategie en de vaststelling van het interne kapitaal; en
• b. de ICT-risico's zich binnen het bereik van de instellingsbrede kaders voor risicobeheer en interne risicobeheersing bevinden.

Bevoegde autoriteiten voeren de onder a) bedoelde beoordeling uit met gebruik van zowel verwachte als ongunstige scenario's, bijvoorbeeld scenario's die zijn opgenomen in de stresstest per instelling of voor toezichtsdoeleinden.

Specifiek met betrekking tot b) beoordelen bevoegde autoriteiten of de onafhankelijke controle- en interne auditfuncties, als beschreven in de punten 104, onder a), 104, onder d), 105, onder a) en 105,onder c) van de SREP-richtsnoeren van EBA, een toereikend niveau van onafhankelijkheid tussen de ICT- en de risicobeheersings- en auditfuncties garanderen, gezien de omvang en het ICT-risicoprofiel van de instelling.