+62. Indien bevoegde autoriteiten het ICT-risico als wezenlijk beschouwen en de bevoegde autoriteit …

62. Indien bevoegde autoriteiten het ICT-risico als wezenlijk beschouwen en de bevoegde autoriteit …

Indien bevoegde autoriteiten het ICT-risico als wezenlijk beschouwen en de bevoegde autoriteit besluit dit risico als subcategorie van het operationele risico te beoordelen en een score te geven, verschaft onderstaande tabel (tabel 1) de volgende overwegingen over de score van ICT-risico's. Tabel 1: Overwegingen van de toezichthouder voor het toekennen van een score voor het ICT-risico

Risicoscore Standpunt Overwegingen voor inherent risico Overwegingen voor adequaat toezichthouder beheer & risicobeheersing

1 Er is geen • waarneembaar risico van een significante prudentiële impact op de instelling, gezien het niveau van inherent risico • en het beheer en de risicobeheersing.De informatiebronnen waarnaar op grond van punt 37 moet worden gekeken, hebben geen belangrijke blootstellingen aan ICT-risico's aan het licht gebracht. De aard van het ICT-risicoprofiel van de instelling heeft, in samenhang met de toetsing van de kritieke ICT-systemen en de wezenlijke ICT-risico's voor de ICT-systemen en -diensten, geen wezenlijke ICT-risico's aan het licht gebracht. • Het beleid en de strategie
2 Er is een laag risico • van een significante prudentiële impact op de instelling, gezien het niveau van het inherente risico en het beheer • en de risicobeheersing.De informatiebronnen waarnaar van de instelling op het op grond van punt 37 moet gebied van het ICT-risico is worden gekeken, hebben geen afgestemd op haar belangrijke blootstellingen aan algehele strategie en ICT-risico's aan het licht risicobereidheid. gebracht. • Het organisatiekader voor De aard van het ICT-risicoprofiel het ICT-risico is robuust, van de instelling heeft, in met duidelijke samenhang met de toetsing van verantwoordelijkheden en de kritieke ICT-systemen en de een duidelijke scheiding wezenlijke ICT-risico's voor de van taken tussen risico-ICT-systemen en -diensten, een eigenaars en de beheer-beperkte blootstelling aan ICT- en risico's (bijv. niet meer dan 2 van risicobeheersingsfuncties. de 5 vooraf vastgestelde ICT- • De systemen voor risicocategorieën) aan het licht hetmeten, bewaken en gebracht. rapporteren van het ICT-
3 Er is een middelhoog • risico van een significante prudentiële impactDe informatiebronnen waarnaar risico zijn passend. op grond van punt 37 moet • Er is een deugdelijk kader worden gekeken, hebben voor de beheersing van aanwijzingen voor mogelijke het ICT-risico.
op de instelling, gezien het niveau van het inherente risico en het beheer • en de risicobeheersing.belangrijke blootstellingen aan ICT-risico's aan het licht gebracht. De aard van het ICT-risicoprofiel van de instelling heeft, in samenhang met de toetsing van de kritieke ICT-systemen en de wezenlijke ICT-risico's voor de ICT-systemen en -diensten, een verhoogde blootstelling aan ICT-risico's (bijv. 3 van de 5 vooraf vastgestelde ICT-risicocategorieën) aan het licht gebracht.
4 Er is een hoog risico • van een significante prudentiële impact op de instelling, gezien het niveau van het inherente risico en het beheer • en de risicobeheersing.De informatiebronnen waarnaar op grond van punt 37 moet worden gekeken, hebben meerdere aanwijzingen voor belangrijke blootstellingen aan ICT-risico's verschaft. De aard van het ICT-risicoprofiel van de instelling heeft, in samenhang met de toetsing van de kritieke ICT-systemen en de wezenlijke ICT-risico's voor de ICT-systemen en -diensten, een grote blootstelling aan ICT-risico's (bijv. 4 of 5 van de 5 vooraf vastgestelde ICT-risicocategorieën) aan het licht gebracht.

1. Overzicht

,

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde standaarden

Standaarden
  • EBA - Published by the European Banking Authority at https://www.eba.europa.eu/