3.3 Beoordeling van de risicobeheersing met het oog op de beperking van wezenlijke ICT-risico's

Om te beoordelen in hoeverre de instelling aan restrisico's op ICT-gebied is blootgesteld, toetsen bevoegde autoriteiten hoe de instelling de wezenlijke risico's die bevoegde autoriteiten tijdens de hierboven beschreven beoordeling hebben vastgesteld, identificeren, bewaken, beoordelen en beperken.

Hiertoe toetsen bevoegde autoriteiten, met het oog op de geïdentificeerde wezenlijke ICT-risico's, de (het) toepasselijke:

• a. beleid en processen in verband met het ICT-risicobeheer en drempels van risicotolerantie;
• b. kader voor organisatiebeheer en toezicht;
• c. bereik van de interne audits en de bevindingen daarvan; en
• d. ICT-risicobeheersing die specifiek is voor het geïdentificeerde wezenlijke ICT-risico.

Bij deze beoordeling wordt rekening gehouden met de uitkomsten van de analyse van het totale kader voor risicobeheer en interne risicobeheersing als bedoeld in titel 5 van de SREP-richtsnoeren van EBA, en tevens met de governance en strategie van de instelling die in titel 2 van deze richtsnoeren worden besproken; grote tekortkomingen op deze gebieden kunnen namelijk invloed hebben op het vermogen van de instelling om haar blootstellingen aan ICT-risico's te beheren en te beperken. Waar relevant maken bevoegde autoriteiten ook gebruik van de in punt 37 van deze richtsnoeren vermelde informatiebronnen.

Bevoegde autoriteiten voeren de volgende beoordelingsstappen uit op een wijze die evenredig is met de aard, schaal en complexiteit van de activiteiten van de instelling en door als toezichthouder een toetsing te verrichten die is toegesneden op het ICT-risicoprofiel van de instelling.

3.3.1 Beleid en processen in verband met ICT-risicobeheer en tolerantiedrempels

Bevoegde autoriteiten toetsen of de instelling passend beleid en passende processen in verband met het ICT-risicobeheer en tolerantiedrempels heeft voor de geïdentificeerde wezenlijke ICT-risico's. Deze kunnen een onderdeel van het kader voor het beheer van operationele risico's of een afzonderlijk document vormen. Hiertoe houden zij rekening met de vraag of:

• a. het beleid inzake risico door het leidinggevend orgaan is geformaliseerd en goedgekeurd en voldoende richtlijnen voor de ICT-risicobereidheid van de instelling en voor de belangrijkste nagestreefde ICT-risicobeheerdoelstellingen en/of toegepaste tolerantiedrempels voor ICT-risico's bevat. Het relevante ICT-risicobeheerbeleid moet ook aan alle relevante belanghebbenden worden gecommuniceerd;
• b. het toepasselijke beleid betrekking heeft op alle belangrijke elementen voor het risicobeheer van de geïdentificeerde wezenlijke ICT-risico's;
• c. de instelling een proces en onderliggende procedures heeft uitgevoerd voor de identificatie (bijv. zelfevaluaties van risico's en risicobeheersing, analyse van risicoscenario's) en bewaking van de betrokken wezenlijke ICT-risico's; en
• d. de instelling een ICT-risicobeheerrapportage heeft dat tijdige informatie aan de directie en het leidinggevend orgaan verschaft en dat de directie en/of het leidinggevend orgaan in staat stelt te beoordelen en te bewaken of de plannen en maatregelen voor de beperking van ICT-risico's van de instelling stroken met de goedgekeurde risicobereidheid en/of tolerantiedrempels (waar relevant) en om zicht te houden op wijzigingen in wezenlijke ICT-risico's.

3.3.2 Kader voor organisatiebeheer en toezicht

Bevoegde autoriteiten beoordelen hoe de toepasselijke taken en verantwoordelijkheden op het gebied van risicobeheer in de interne organisatie zijn ingebed en geïntegreerd om de geïdentificeerde wezenlijke ICT-risico's te beheren en daarop toezicht te houden. Wat dit betreft beoordelen bevoegde autoriteiten of de instelling aantoont:

• a. dat zij duidelijke taken en verantwoordelijkheden heeft vastgesteld voor de identificatie, beoordeling, bewaking, beperking en rapportage van en toezicht op het betrokken wezenlijke ICT-risico;
• b. dat de verantwoordelijkheden en taken in verband met risico's duidelijk worden gecommuniceerd, toegewezen en ingebed in alle relevante onderdelen (bijv. bedrijfsonderdelen, IT) en processen van de organisatie, waaronder de taken en verantwoordelijkheden voor het verzamelen en samenvoegen van de risico-informatie en het rapporteren daarover aan de directie en/of het leidinggevend orgaan;
• c. dat de activiteiten inzake ICT-risicobeheer worden verricht met voldoende en kwalitatief toereikende personele en technische middelen. Om vast te stellen hoe geloofwaardig de toepasselijke plannen voor risicobeperking zijn, beoordelen bevoegde autoriteiten eveneens of de instelling voldoende begrotingsmiddelen en/of andere vereiste middelen met het oog op de uitvoering ervan heeft toegekend;
• d. dat het leidinggevend orgaan zorg draagt voor een adequate follow-up van en reactie op belangrijke bevindingen van de onafhankelijke controlefuncties wat betreft het (de) ICT-risico('s), waarbij rekening wordt gehouden met het feit dat sommige aspecten aan een commissie, indien aanwezig, kunnen worden gedelegeerd; en
• e. dat uitzonderingen op toepasselijk(e) ICT-regelgeving en -beleid worden geregistreerd en onderworpen aan een gedocumenteerde toetsing en rapportage door de onafhankelijke controlefunctie met speciale aandacht voor de bijbehorende risico's.

3.3.3 Bereik van interne audits en bevindingen daarvan

Bevoegde autoriteiten bekijken of de interne auditfunctie effectief is als het gaat om de controle op het toepasselijke ICT-risicobeheersingskader. Hiertoe toetsen zij of:

• a. het ICT-risicobeheersingskader met de vereiste kwaliteit, grondigheid en frequentie wordt gecontroleerd op een wijze die past bij de omvang, de activiteiten en het ICT-risicoprofiel van de instelling;
• b. het auditplan audits bevat met betrekking tot de kritieke ICT-risico's die de instelling heeft geïdentificeerd;
• c. de belangrijke bevindingen van ICT-audits, inclusief overeengekomen acties, aan het leidinggevend orgaan worden gemeld; en
• d. er gevolg wordt gegeven aan de bevindingen van ICT-audits, inclusief overeengekomen acties, en of voortgangsverslagen periodiek door de directie en/of de auditcommissie worden geëvalueerd.

3.3.4 ICT-risicobeheersing die specifiek is voor de geïdentificeerde wezenlijke ICT-risico's

Voor de geïdentificeerde wezenlijke ICT-risico's geldt dat bevoegde autoriteiten beoordelen of de instelling specifieke beheersingsmaatregelen heeft om deze risico's aan te pakken. De volgende paragrafen bieden een niet-volledige lijst van de specifieke beheersingsmaatregelen waarnaar gekeken wordt bij de beoordeling van de wezenlijke risico's die in punt 3.2.3 zijn geïdentificeerd en aan de volgende ICT-risicocategorieën zijn toegewezen:

• a. ICT-beschikbaarheids- en continuïteitsrisico's;
• b. ICT-beveiligingsrisico's;
• c. ICT-wijzigingsrisico's;
• d. ICT-data-integriteitsrisico's
• e. ICT-uitbestedingsrisico's.
• (a) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-beschikbaarheids- en continuïteitsrisico's

Als aanvulling op de vereisten in de SREP-richtsnoeren van EBA (punten 279-281) beoordelen bevoegde autoriteiten of de instelling een passend kader heeft voor het identificeren, begrijpen, meten en beperken van ICT-beschikbaarheids- en continuïteitsrisico's.

Hiertoe houden zij met name rekening met de vraag of het kader:

• a. de kritieke ICT-processen en de relevante ondersteunende ICT-systemen identificeert die deel dienen uit te maken van de plannen voor de veerkracht en continuïteit van het bedrijf, met:
• i. een alomvattende analyse van de afhankelijkheden tussen de kritieke bedrijfsprocessen en ondersteunende systemen;
• ii. vaststelling van de doelen voor het herstel van de ondersteunende ICT-systemen (die bijv. gewoonlijk door het bedrijf en/of de regelgeving worden vastgesteld in termen van RTO en RPO);
• iii. passende noodplannen om beschikbaarheid, continuïteit en herstel van kritieke ICT-systemen en -diensten mogelijk te maken om een verstoring van de activiteiten van de instelling zo veel mogelijk en binnen aanvaardbare grenzen te beperken.
• b. beleid en normen inzake de controleomgeving voor de veerkracht en continuïteit van het bedrijf en operationele controles behelst die het volgende omvatten:
• i. maatregelen om te voorkomen dat één scenario, incident of ramp zowel de ICT- productie- als - herstelsystemen kan beïnvloeden;
• ii. procedures voor ICT-systeembackups en -herstel voor kritieke software en gegevens, die ervoor zorgen dat deze backups op een veilige en op voldoende afstand gelegen locatie worden opgeslagen, zodat deze kritieke gegevens niet door een incident of ramp kunnen worden vernietigd of corrupt raken;
• iii. toezichtoplossingen voor de tijdige opsporing van incidenten in verband met de beschikbaarheid of continuïteit van ICT;
• iv. een gedocumenteerd incidentenbeheer- en escalatieproces dat tevens richtlijnen verschaft voor de verschillende taken en verantwoordelijkheden op het gebied van incidentenbeheer en escalatie, de leden van de crisiscommissie(s) en de hiërarchische structuur in noodgevallen;
• v. fysieke maatregelen om de kritieke ICT-infrastructuur van de instelling (bijv. datacentra) tegen milieurisico's (bijv. overstromingen en andere natuurrampen) te beschermen en te zorgen voor een passende operationele omgeving voor ICT-systemen (bijv. airconditioning);
• vi. processen, taken en verantwoordelijkheden om ervoor te zorgen dat er ook voor uitbestede ICT-systemen en -diensten adequate oplossingen en plannen zijn met het oog op de veerkracht en continuïteit van het bedrijf;
• vii. oplossingen voor ICT-prestatie- en capaciteitsplanning en -monitoring voor kritieke ICT-systemen en -diensten met welbepaalde beschikbaarheidseisen, om belangrijke beperkingen qua prestaties en capaciteit tijdig op te sporen;
• viii. oplossingen om kritieke internetactiviteiten of -diensten (bijv. elektronisch bankieren) waar nodig en passend te beschermen tegen Denial-of-Service- en andere cyberaanvallen op internet, bedoeld om de toegang tot deze activiteiten en diensten onmogelijk te maken of te verstoren.
• c. oplossingen voor de beschikbaarheid en continuïteit van ICT test, afgezet tegen een reeks realistische scenario's waaronder cyberaanvallen, en failovertests en tests van backups voor kritieke software en gegevens:
• i. die gepland, geformaliseerd en gedocumenteerd zijn, en de testresultaten die gebruikt worden om de oplossingen voor de beschikbaarheid en continuïteit van ICT doeltreffender te maken;
• ii. die betrekking hebben op de belanghebbenden en functies binnen de organisatie, zoals de leiding van de bedrijfsonderdelen, waaronder bedrijfscontinuïteit en incident- en crisisresponsteams, evenals relevante externe belanghebbenden in het ecosysteem;
• iii. waarbij het leidinggevend orgaan en de directie op passende wijze zijn betrokken (bijv. als onderdeel van crisismanagementteams) en zij van de testresultaten op de hoogte worden gebracht.
• (b) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-beveiligingsrisico's

Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het identificeren, begrijpen, meten en beperken van ICT-beveiligingsrisico's. Hiertoe houden zij met name rekening met de vraag of het kader de volgende zaken in ogenschouw neemt:

• a. duidelijk omschreven taken en verantwoordelijkheden met betrekking tot:
• i. de perso(o)n(en) en/of commissies die verantwoording en rekenschap moeten afleggen voor het dagelijkse ICT-veiligheidsbeheer en de uitwerking van het overkoepelende ICT-veiligheidsbeleid, met aandacht voor hun benodigde onafhankelijkheid;
• ii. het ontwerpen, uitvoeren, beheren en monitoren van ICT-veiligheidscontroles;
• iii. de bescherming van kritieke ICT-systemen en -diensten via bijvoorbeeld een proces voor de beoordeling van kwetsbaarheden, softwarepatchmanagement, eindpuntbescherming (bijv. malwarevirus) en instrumenten voor inbraakdetectie en -preventie;
• iv. het monitoren, classificeren en afhandelen van externe of interne ICT-veiligheidsincidenten, inclusief incidentenrespons en het hervatten en herstellen van de ICT-systemen en diensten;
• v. regelmatige en proactieve dreigingsevaluaties om de veiligheidscontroles op een adequaat niveau te houden.
• b. een ICT-veiligheidsbeleid dat rekening houdt met en, waar nodig, voldoet aan internationaal erkende ICT-veiligheidsnormen en -beginselen (bijv. het 'beginsel van het minste privilege', d.w.z. beperken van de toegang tot het laagste niveau waarbij normaal functioneren voor het beheer van toegangsrechten mogelijk is, en het beginsel van 'diepteverdediging', d.w.z. gelaagde veiligheidsmechanismen, zorgen voor een grotere beveiliging van het systeem als geheel met het oog op het ontwerpen van een veiligheidsarchitectuur);
• c. een proces om ICT-systemen en -diensten en daarop afgestemde veiligheidseisen te identificeren die in verband kunnen worden gebracht met mogelijke frauderisico's en/of mogelijk verkeerd gebruik en/of misbruik van vertrouwelijke gegevens, samen met gedocumenteerde veiligheidsverwachtingen waaraan voor deze geïdentificeerde ICT-systemen, -diensten en - gegevens moet worden voldaan, in lijn met de risicotolerantie van de instelling en met toezicht op de correcte uitvoering ervan;
• d. een gedocumenteerd veiligheidsincidentenbeheer- en escalatieproces dat richtsnoeren verschaft voor de verschillende taken en verantwoordelijkheden op het gebied van incidentenbeheer en escalatie, de leden van de crisiscommissie(s) en de hiërarchische structuur in noodgevallen op het vlak van veiligheid;
• e. het loggen van gebruikers- en administratieve activiteiten om doeltreffende monitoring van en de tijdige opsporing van en respons op ongeoorloofde activiteit mogelijk te maken; en om deel te nemen aan forensisch onderzoek naar veiligheidsincidenten of dit uit te voeren. De instelling moet loggingbeleid hebben waarin wordt beschreven welke typen logs bewaard moeten worden en voor hoe lang;
• f. bewustwordings- en voorlichtingscampagnes of -initiatieven om alle geledingen in de instelling te informeren over het veilige gebruik en de bescherming van de ICT-systemen van de instelling en de voornaamste ICT-beveiligingsrisico's (en andere risico's) die zij moeten kennen, met name wat betreft de bestaande en groeiende cyberdreigingen (bijv. computervirussen, mogelijk intern(e) of extern(e) misbruik of aanvallen, cyberaanvallen) en de rol die zij spelen in het verminderen van de inbreuken op de veiligheid;
• g. adequate fysieke veiligheidsmaatregelen (bijv. camerabewaking, inbraakalarm, veiligheidsdeuren) om ongeoorloofde fysieke toegang tot kritieke en gevoelige ICT-systemen (bijv. datacentra) te voorkomen;
• h. maatregelen om de ICT-systemen tegen aanvallen vanaf internet (d.w.z. cyberaanvallen) of andere externe netwerken (bijv. traditionele telecomverbindingen of verbindingen met vertrouwde partners) te beschermen. Bevoegde autoriteiten toetsen of het kader van de instelling de volgende zaken in ogenschouw neemt:
• i. een proces en oplossingen om een complete actuele inventaris en overzicht bij te houden van alle naar buiten gerichte netwerkaansluitpunten (zoals websites, internettoepassingen, wifi, toegang op afstand) waardoor derden in de interne ICT-systemen kunnen inbreken;
• ii. zorgvuldig beheerde en gecontroleerde veiligheidsmaatregelen (bijv. firewalls, proxyservers, mailrelays, antivirus- en contentscanners) om het inkomende en uitgaande netwerkverkeer (bijv. e-mail) en de naar buiten gerichte netwerkaansluitingen waardoor derden in de interne ICT-systemen kunnen inbreken, te beveiligen;
• iii. processen en oplossingen om websites en toepassingen te beveiligen die rechtstreeks vanaf internet en/of van buitenaf kunnen worden aangevallen en die als toegangspunt voor de interne ICT-systemen kunnen dienen. Over het algemeen gaat het hierbij om een combinatie van erkende veilige ontwikkelingspraktijken, maatregelen om de ICT-systemen te harden en op kwetsbaarheden te scannen en/of de implementatie van aanvullende veiligheidsoplossingen zoals firewalls en/of inbraakdetectie- en/of inbraakpreventiesystemen;
• iv. periodieke penetratietests om te beoordelen hoe effectief de uitgevoerde cyber- en interne ICT-veiligheidsmaatregelen en -processen zijn. Deze tests worden door personeel en/of externe deskundigen met de benodigde expertise verricht; de testresultaten en conclusies worden gedocumenteerd en aan de directie en/of het leidinggevend orgaan worden gemeld. Wanneer nodig en van toepassing, dient de instelling op basis van deze tests inzicht te krijgen in waar de veiligheidscontroles en -processen verder moeten worden verbeterd en/of hoe de effectiviteit ervan beter kan worden gewaarborgd.
• (c) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-wijzigingsrisico's

Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het identificeren, begrijpen, meten en beperken van risico's in verband met wijzigingen in ICT, dat past bij de aard, schaal en complexiteit van de activiteiten van de instelling en het ICT-risicoprofiel van de instelling. Het kader van de instelling dient betrekking te hebben op de risico's die zich voordoen bij het ontwikkelen, testen en goedkeuren van ICT-systeemwijzigingen, waaronder de ontwikkeling van of wijzigingen in software, voordat deze naar de productieomgeving worden gemigreerd, en een adequaat ICT-levenscyclusbeheer te waarborgen. Hiertoe houden bevoegde autoriteiten met name rekening met de vraag of het kader de volgende zaken in ogenschouw neemt:

• a. gedocumenteerde processen voor het beheren en controleren van wijzigingen in ICT-systemen (bijv. configuratie- en patchmanagement) en -gegevens (bijv. reparatie van bugs of gegevenscorrecties), waarbij ervoor wordt gezorgd dat het ICT-risicobeheer voldoende ingezet wordt bij belangrijke ICT-wijzigingen die een grote invloed op het risicoprofiel of de risicoblootstelling van de instelling kunnen hebben;
• b. specificaties betreffende de vereiste scheiding van taken gedurende de verschillende fasen van de uitgevoerde ICT-wijzigingen (bijv. bedenken en ontwikkelen van oplossingen, testen en goedkeuren van nieuwe software en/of wijzigingen, migratie en implementatie in de productieomgeving, en reparatie van bugs), met speciale aandacht voor de geïmplementeerde oplossingen en scheiding van taken om wijzigingen te beheren en te controleren die door ICT-personeel (bijv. ontwikkelaars, ICT-systeembeheerders, databankbeheerders) of een andere partij (bijv. zakelijke gebruikers, dienstverleners) in de ICT-productiesystemen zijn aangebracht;
• c. testomgevingen die productieomgevingen adequaat weerspiegelen;
• d. een inventaris van de activa van de bestaande toepassingen en ICT-systemen in de productieomgeving en de test- en ontwikkelingsomgeving, zodat de vereiste wijzigingen (bijv. versie-updates of -upgrades, patchen van systemen, wijzigingen in de configuratie) voor de betrokken ICT-systemen op de juiste wijze kunnen worden beheerd, geïmplementeerd en gecontroleerd.
• e. een proces om de levenscyclus van de gebruikte ICT-systemen te bewaken en te beheren, om ervoor te zorgen dat zij de huidige bedrijfs- en risicobeheervereisten blijven naleven en ondersteunen en dat de gebruikte ICT-oplossingen en -systemen bij voortduring door de verkopers ervan worden ondersteund; en dat dit vergezeld gaat van adequate procedures voor de ontwikkelingscyclus van software;
• f. een systeem voor de controle van softwarebroncodes en passende procedures om ongeoorloofde wijzigingen in de broncode van intern ontwikkelde software te voorkomen;
• g. een proces om de veiligheid en kwetsbaarheid van nieuwe of in wezenlijk opzicht gewijzigde ICT-systemen en software te screenen, alvorens deze vrij te geven voor productie en ze aan mogelijke cyberaanvallen bloot te stellen;
• h. een proces en oplossingen om de ongeoorloofde of onbedoelde openbaarmaking van vertrouwelijke gegevens tijdens het vervangen, archiveren, verwijderen of vernietigen van ICT-systemen te voorkomen;
• i. onafhankelijke toetsings- en validatieprocessen om de risico's op menselijke fouten te verkleinen wanneer er wijzigingen op de ICT-systemen worden aangebracht die een belangrijk nadelig effect op de beschikbaarheid, continuïteit of beveiliging van de instelling (bijv. belangrijke wijzigingen in de firewallconfiguratie) of de beveiliging van de instelling (bijv. wijzigingen in de firewalls) kunnen hebben.
• (d) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-data-integriteitsrisico's

Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het identificeren, begrijpen, meten en beperken van ICT-data-integriteitsrisico's, dat past bij de aard, schaal en complexiteit van de activiteiten van de instelling en het ICT-risicoprofiel van de instelling. Het kader van de instelling moet oog hebben voor de risico's ten aanzien van het behoud van de integriteit van de door de ICT-systemen opgeslagen en verwerkte gegevens. Hiertoe houden zij met name rekening met de vraag of het kader de volgende zaken in ogenschouw neemt:

• a. een beleid waarin de taken en verantwoordelijkheden worden beschreven voor het beheer van de integriteit van de gegevens in de ICT-systemen (bijv. gegevensarchitect (data architect), gegevensfunctionarissen (data officers)⁶ , gegevensbewaarders (data custodians)⁷ , eigenaars/beheerders van de gegevens (data owners/stewards)⁸ ) en waarin richtlijnen worden verschaft over welke gegevens vanuit het oogpunt van integriteit kritiek zijn en in de verschillende fasen van de levenscyclus van de ICT-gegevens aan specifieke ICT-controles (bijv. geautomatiseerde invoervalidatiecontroles, controles op gegevensoverdracht, afstemming, enz.) of toetsingen (bijv. een controle van compatibiliteit met de gegevensarchitectuur) moeten worden onderworpen;
• b. een gedocumenteerde gegevensarchitectuur, gegevensmodel en/of data dictionary, die samen met relevante zakelijke en IT-belanghebbenden worden gevalideerd ter ondersteuning van de benodigde consistentie van de gegevens in alle ICT-systemen en om ervoor te zorgen dat de gegevensarchitectuur, het gegevensmodel en/of - woordenboek afgestemd blijven op de bedrijfs- en risicobeheerbehoeften;
• c. een beleid betreffende het toegestane gebruik en dito afhankelijkheid van End User Computing, vooral aangaande de identificatie, registratie en documentatie van belangrijke computeroplossingen voor eindgebruikers (bijv. bij de verwerking van belangrijke gegevens) en de verwachte veiligheidsniveaus om ongeoorloofde wijzigingen te voorkomen, zowel in het instrument zelf als in de daarin opgeslagen gegevens.
• d. gedocumenteerde processen voor de behandeling van uitzonderingen om geïdentificeerde problemen met betrekking tot de integriteit van ICT-gegevens overeenkomstig het kritieke en gevoelige karakter ervan op te lossen.

⁶ Een gegevensfunctionaris is verantwoordelijk voor de verwerking en het gebruik van gegevens.

⁷ Een gegevensbewaarder is verantwoordelijk voor de bewaking, het veilige vervoer en de veilige opslag van gegevens.

⁸ Een gegevensbeheerder is verantwoordelijk voor het beheer en de geschiktheid van gegevenselementen – zowel wat de inhoud als wat de metadata betreft.

Voor onder toezicht staande instellingen die onder BCBS 239, beginselen voor effectieve samenvoeging van risicogegevens en risicorapportage⁹ , vallen, toetsen bevoegde autoriteiten de wijze waarop de instelling haar mogelijkheden voor risicorapportage en gegevensaggregatie analyseert vergeleken met de beginselen en de opgestelde documentatie op dat gebied, met inachtneming van het uitvoeringsschema en de overgangsgregelingen die in deze beginselen zijn vervat.

• (e) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-uitbestedingsrisico's

⁹ Bazels Comité voor bankentoezicht, Principles for effective risk data aggregation and risk reporting, januari 2013, online beschikbaar: http://www.bis.org/publ/bcbs239.pdf.

Bevoegde autoriteiten beoordelen of de uitbestedingsstrategie van de instelling, in lijn met de vereisten van de uitbestedingsrichtlijnen van het CEBT (2006) en met de vereiste in punt 85, onder d), van de SREP-richtsnoeren van EBA, adequaat op de ICT-uitbesteding van toepassing is, waaronder uitbesteding van ICT-diensten binnen de groep. Bij de beoordeling van de ICT-uitbestedingsrisico's houden bevoegde autoriteiten er rekening mee dat de ICT-uitbestedingsrisico's ook kunnen worden geanalyseerd als onderdeel van de beoordeling van inherente operationele risico's op grond van punt 240, onder j), van de SREP-richtsnoeren van EBA, om dubbel werk of dubbeltellingen te voorkomen.

In het bijzonder beoordelen bevoegde autoriteiten of de instelling een effectief kader heeft voor het identificeren, begrijpen en meten van het ICT-uitbestedingsrisico en met name of zij controles uitvoert en een controleomgeving heeft om risico's in verband met wezenlijke uitbestede ICT-diensten te beperken, die passen bij de omvang, activiteiten en het ICT-risicoprofiel van de instelling en die het volgende omvatten:

• a. een beoordeling van het effect van de ICT-uitbesteding op het risicobeheer van de instelling in verband met het gebruik van dienstverleners (bijv. aanbieders van clouddiensten) en hun diensten tijdens het aanbestedingsproces, die door de directie of het leidinggevend orgaan wordt gedocumenteerd en wordt meegenomen in de besluitvorming rondom het al dan niet uitbesteden van de diensten. De instelling toetst het beleid inzake het ICT-risicobeheer en de ICT-controles en controleomgeving van de dienstverlener, zodat deze voldoen aan de doelstellingen op het gebied van intern risicobeheer en risicobereidheid van de instelling. Deze toetsing moet tijdens de contractuele uitbestedingsperiode periodiek worden geactualiseerd, met inachtneming van de kenmerken van de uitbestede diensten;
• b. bewaking van de ICT-risico's van de uitbestede diensten tijdens de contractuele uitbestedingsperiode als onderdeel van het risicobeheer van de instelling, die de instelling meeneemt in haar verslaglegging over het ICT-risicobeheer (bijv. rapportage over de bedrijfscontinuïteit en over de beveiliging);
• c. monitoring en vergelijking van de niveaus van de ontvangen diensten met de contractueel overeengekomen dienstverleningsniveaus, die onderdeel van het uitbestedingscontract of de Service Level Agreement (SLA) dienen te vormen; en
• d. voldoende personeel, middelen en vaardigheden om de ICT-risico's van de uitbestede diensten te bewaken en te beheren.