49. Bevoegde autoriteiten toetsen of de instelling passend beleid en passende processen in verband …

Bevoegde autoriteiten toetsen of de instelling passend beleid en passende processen in verband met het ICT-risicobeheer en tolerantiedrempels heeft voor de geïdentificeerde wezenlijke ICT-risico's. Deze kunnen een onderdeel van het kader voor het beheer van operationele risico's of een afzonderlijk document vormen. Hiertoe houden zij rekening met de vraag of:

• a. het beleid inzake risico door het leidinggevend orgaan is geformaliseerd en goedgekeurd en voldoende richtlijnen voor de ICT-risicobereidheid van de instelling en voor de belangrijkste nagestreefde ICT-risicobeheerdoelstellingen en/of toegepaste tolerantiedrempels voor ICT-risico's bevat. Het relevante ICT-risicobeheerbeleid moet ook aan alle relevante belanghebbenden worden gecommuniceerd;
• b. het toepasselijke beleid betrekking heeft op alle belangrijke elementen voor het risicobeheer van de geïdentificeerde wezenlijke ICT-risico's;
• c. de instelling een proces en onderliggende procedures heeft uitgevoerd voor de identificatie (bijv. zelfevaluaties van risico's en risicobeheersing, analyse van risicoscenario's) en bewaking van de betrokken wezenlijke ICT-risico's; en
• d. de instelling een ICT-risicobeheerrapportage heeft dat tijdige informatie aan de directie en het leidinggevend orgaan verschaft en dat de directie en/of het leidinggevend orgaan in staat stelt te beoordelen en te bewaken of de plannen en maatregelen voor de beperking van ICT-risico's van de instelling stroken met de goedgekeurde risicobereidheid en/of tolerantiedrempels (waar relevant) en om zicht te houden op wijzigingen in wezenlijke ICT-risico's.

3.3.2 Kader voor organisatiebeheer en toezicht

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/