3.1 Algemene overwegingen

Bevoegde autoriteiten beoordelen of de instelling haar ICT-risico's naar behoren heeft geïdentificeerd, beoordeeld en beperkt. Dit proces moet onderdeel zijn van het operationele risicobeheerkader en overeenkomen met de aanpak die geldt voor het operationele risico.

Bevoegde autoriteiten identificeren eerst de wezenlijke inherente ICT-risico's waaraan de instelling wordt of kan worden blootgesteld, gevolgd door een beoordeling waarbij wordt onderzocht hoe effectief deze risico's door het ICT-risicobeheerkader, de procedures en risicobeheersing worden beperkt. De uitkomst van de beoordeling wordt vastgelegd in een samenvatting van bevindingen die wordt meegenomen in de score voor operationeel risico als bedoeld in de SREP-richtsnoeren. Wanneer het ICT-risico als wezenlijk wordt beschouwd en bevoegde autoriteiten een afzonderlijke score willen toekennen, wordt tabel 1 gebruikt om een score als subrisico van het operationele risico toe te kennen.

Bij de uitvoering van de beoordeling op grond van deze titel maken bevoegde autoriteiten gebruik van alle beschikbare informatiebronnen als vermeld in punt 127 van titel 6 van de SREP-richtsnoeren van EBA, bijvoorbeeld activiteiten, verslaglegging en uitkomsten van de instelling op het gebied van risicobeheer, als basis voor het vaststellen van hun prioriteiten waar het gaat om de beoordeling door de toezichthouder. Bevoegde autoriteiten maken tevens gebruik van andere informatiebronnen om deze beoordeling te verrichten, waaronder, indien relevant, de volgende bronnen:

• a. zelfevaluaties van ICT-risico's en -risicobeheersing (indien opgenomen in de Icaap-informatie);
• b. aan ICT-risico's gerelateerde managementinformatie die aan het leidinggevend orgaan van de instelling wordt overgelegd, bijvoorbeeld periodieke en incidentele ICT-risicoverslaglegging (onder meer in de databank van operationele verliezen), en gegevens over blootstelling aan ICT-risico's van de risicobeheerfunctie van de instelling;
• c. ICT-gerelateerde uitkomsten van interne en externe audits die aan de auditcommissie zijn gemeld.