3.1 Uwagi ogólne

Właściwe organy powinny ocenić, czy instytucja odpowiednio określiła, oceniła i ograniczyła swoje ryzyka ICT. Proces ten pow inien być częścią ram operacyjnego zarządzania ryzykiem i zbieżny z podejściem mającym zastosowanie do ryzyka operacyjnego.

Właściwe organy powinny najpierw określić istotne rodzaje nieodłącznego ryzyka ICT, na które instytucja jest lub może być narażona, a następnie ocenić skuteczność ram, procedur i kontroli zarządzania ryzykiem ICT instytucji w celu ograniczenia ryzyka. Wynik kontroli powinien znaleźć odzwierciedlenie w podsumowaniu ustaleń, które jest wykorzystywane do punktacji ryzyka operacyjnego w w ytycznych dotyczących SREP. Jeżeli ryzyko ICT jest uznawane za istotne, a właściwe organy chcą przyznać indywidualną punktację, wówczas należy wykorzystać tabelę 1 do przyznania punktacji w postaci podryzyka ryzyka operacyjnego.

Przy przeprowadzaniu oceny na podstawie tego tytułu właściwe organy powinny wykorzystać wszystkie dostępne źródła informacji określone w tytule 6 ust. 127 wytycznych EUNB dotyczących SREP, np. działania instytucji z zakresu zarządzania ryzykiem, sprawozdawczość i wyniki, jako podstawę do identyfikacji ich nadzorczych priorytetów oceny. Właściwe organy powinny również wykorzystać inne źródła informacji do przeprowadzenia oceny, w tym, w stosownym przypadku, następujące źródła:

• a. samodzielną ocenę kontroli i ryzyka ICT (jeżeli została uwzględniona w informacjach ICAAP);
• b. informacje zarządcze powiązane z ryzykiem ICT przedłożone organowi zarządczemu instytucji, np. okresowe lub pojedyncze sprawozdania dotyczące ryzyka ICT (w tym baza danych dotycząca strat operacyjnych), dane dotyczące ekspozycji na ryzyko ICT przekazane przez komórkę zarządzania ryzykiem instytucji;
• c. ustalenia z audytu wewnętrznego i zewnętrznego powiązane z ICT zgłoszone komitetowi ds. audytu instytucji.