61. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een oordeel over het ICT-risico …

Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een oordeel over het ICT-risico van de instelling. Dit oordeel wordt verwoord in een samenvatting van bevindingen waarmee bevoegde autoriteiten rekening houden bij de toekenning van de score van het operationele risico in tabel 6 van de SREP-richtsnoeren van EBA. Bevoegde autoriteiten baseren hun standpunt over wezenlijke ICT-risico's op basis van de volgende overwegingen die in de beoordeling van het operationele risico worden meegenomen:

• a. Risico-overwegingen
• i. het ICT-risicoprofiel en de blootstelling aan ICT-risico's van de instelling;
• ii. de geïdentificeerde kritieke ICT-systemen en -diensten; en
• iii. de wezenlijkheid van ICT-risico's als het gaat om kritieke ICT-systemen.
• b. Overwegingen over beheer en riscobeheersing
• i. Of het beleid en de strategie van de instelling op het gebied van het beheer van ICT-risico's en haar algehele strategie en risicobereidheid met elkaar in overeenstemming zijn.
• ii. of het organisatiekader voor het ICT-risicobeheer robuust is, met duidelijke verantwoordelijkheden en een duidelijke scheiding van taken tussen risico-eigenaars en de beheer- en -risicobeheersingsfuncties.
• iii. of de systemen voor het meten, bewaken en rapporteren van het ICT-risico passend zijn, en
• iv. of er deugdelijke kaders zijn voor de beheersing van wezenlijke ICT-risico's.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/