60. In het bijzonder beoordelen bevoegde autoriteiten of de instelling een effectief kader heeft …

In het bijzonder beoordelen bevoegde autoriteiten of de instelling een effectief kader heeft voor het identificeren, begrijpen en meten van het ICT-uitbestedingsrisico en met name of zij controles uitvoert en een controleomgeving heeft om risico's in verband met wezenlijke uitbestede ICT-diensten te beperken, die passen bij de omvang, activiteiten en het ICT-risicoprofiel van de instelling en die het volgende omvatten:

• a. een beoordeling van het effect van de ICT-uitbesteding op het risicobeheer van de instelling in verband met het gebruik van dienstverleners (bijv. aanbieders van clouddiensten) en hun diensten tijdens het aanbestedingsproces, die door de directie of het leidinggevend orgaan wordt gedocumenteerd en wordt meegenomen in de besluitvorming rondom het al dan niet uitbesteden van de diensten. De instelling toetst het beleid inzake het ICT-risicobeheer en de ICT-controles en controleomgeving van de dienstverlener, zodat deze voldoen aan de doelstellingen op het gebied van intern risicobeheer en risicobereidheid van de instelling. Deze toetsing moet tijdens de contractuele uitbestedingsperiode periodiek worden geactualiseerd, met inachtneming van de kenmerken van de uitbestede diensten;
• b. bewaking van de ICT-risico's van de uitbestede diensten tijdens de contractuele uitbestedingsperiode als onderdeel van het risicobeheer van de instelling, die de instelling meeneemt in haar verslaglegging over het ICT-risicobeheer (bijv. rapportage over de bedrijfscontinuïteit en over de beveiliging);
• c. monitoring en vergelijking van de niveaus van de ontvangen diensten met de contractueel overeengekomen dienstverleningsniveaus, die onderdeel van het uitbestedingscontract of de Service Level Agreement (SLA) dienen te vormen; en
• d. voldoende personeel, middelen en vaardigheden om de ICT-risico's van de uitbestede diensten te bewaken en te beheren.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/