2.4 Ryzyko ICT w ramach zarządzania ryzykiem instytucji

Podczas oceny ogólnego zarządzania ryzykiem w instytucji oraz kontroli wewnętrznych zgodnie z tytułem 5 wytycznych EUNB dotyczących SREP właściwe organy powinny rozważyć, czy ramy zarządzania ryzykiem i kontroli wewnętrznych instytucji zapewniają odpowiednie zabezpieczenie systemów ICT instytucji w taki sposób, który jest dostosowany do wielkości i działań instytucji oraz jej profilu ryzyka ICT zgodnie z tytułem 3. Właściwe organy powinny w szczególności określać:

• a. czy gotowość do podejmowania ryzyka oraz ICAAP obejmują ryzyko ICT, w ramach szerszej kategorii ryzyka operacyjnego, na potrzeby definicji ogólnej strategii ryzyka i ustalenia kapitału wewnętrznego oraz
• b. ryzyko ICT mieści się w zakresie ogólnego zarządzania ryzykiem w instytucji oraz w ramach kontroli wewnętrznej.

Właściwe organy powinny przeprowadzić ocenę w ramach lit. a) powyżej z uwzględnieniem obydwu oczekiwanych i przeciwnych scenariuszy, np. scenariuszy uwzględnionych w teście warunków skrajnych specyficznym dla instytucji lub teście warunków skrajnych o charakterze nadzorczym.

Ze szczególnym uwzględnieniem lit. b) właściwe organy powinny ocenić, czy komórki niezależnej kontroli i audytu wewnętrznego, wyszczególnione w ust. 104 lit. a), 104 lit. d), 105 lit. c) wytycznych EUNB dotyczących SREP są w stanie zapewnić odpowiedni poziom niezależności między ICT a komórkami kontroli i audytu, mając na uwadze wielkość oraz profil ryzyka ICT instytucji.