60. Właściwe organy powinny w szczególności ocenić, czy instytucja posiada skuteczne ramy …

Właściwe organy powinny w szczególności ocenić, czy instytucja posiada skuteczne ramy identyfikacji, zrozumienia i pomiaru ryzyka związanego z outsourcingiem ICT, a w szczególności czy zapewnia kontrole i środowisko kontroli w celu ograniczania ryzyka związanego z istotnymi usługami ICT objętymi outsourcingiem, które są dostosowane do wielkości, działań i profilu ryzyka ICT instytucji i obejmują:

• a. ocenę wpływu outsourcingu ICT na zarządzanie ryzykiem instytucji w powiązaniu z korzystaniem z u sługodawców (np. dostawców usług w chmurze) oraz ich usług w procesie przetargu, udokumentowaną i uwzględnianą przez kierownictwo wyższego szczebla lub organ zarządczy podczas podejmowania decyzji o outsourcingu usług. Instytucja powinna dokonać przeglądu strategii zarządzania ryzykiem ICT oraz kontroli i środowiska kontroli dostawców, aby dopilnować, że są zgodne z wewnętrznymi celami instytucji w zakresie zarządzania ryzykiem oraz gotowości do podejmowania ryzyka. Przegląd powinien być okresowo aktualiz owany w czasie trwania umowy o outsourcing, z uwzględnieniem cech usług podlegających outsourcingowi;
• b. monitorowanie ryzyka ICT usług objętych outsourcingiem w czasie trwania umowy o outsourcingu w ramach zarządzania ryzykiem instytucji, które jest uwzględniane w sprawozdaniach dotyczących zarządzania ryzykiem ICT w instytucji (np. sprawozdawczość dotycząca ciągłości biznesowej, sprawozdawczość dotycząca bezpieczeństwa);
• c. monitorowanie i porównanie świadczonego poziomu usług z umownie uzgodnionym poziomem u sług, który powinien stanowić część umowy o outsourcing usług lub umowy o gwarantowanym poziomie usług (SLA) oraz
• d. adekwatny personel oraz adekwatne zasoby i kompetencje do monitorowania ryzyka ICT i zarządzania tym ryzykiem ze strony usług objętych outsour cingiem.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.