Tytuł 1 - Przepisy ogólne

Właściwe organy powinny przeprowadzić ocenę ryzyka ICT i mechanizmów zarządzania oraz strategii ICT jako część procesu SREP zgodnie z zasadami minimalnego zaangażowania i kryteriami proporcjonalności określonymi w tytule 2 wytycznych EUNB dotyczących SREP. Oznacza to w szczególności, że:

• a. częstotliwość oceny ryzyka ICT będzie zależała od zasad minimalnego zaangażowania wynikających z kategorii SREP, do której dana instytucja jest przyp isana oraz jej specjalnego programu oceny nadzorczej oraz
• b. zakres, szczegółowość i intensywność oceny ICT powinny być proporcjonalne do wielkości, struktury i środowiska operacyjnego instytucji, a także charakteru, skali i kompleksowości jej działań.

Zasada proporcjonalności ma zastosowanie w niniejszych wytycznych do zakresu, częstotliwości i intensywność zaangażowania nadzorczego i dialogu z instytucją oraz oczekiwań nadzorczych związanych z normami, które instytucja powinna stosować.

Właściwe organy mogą opierać się na pracach już przeprowadzonych przez instytucję lub właściwy organ w kontekście oceny innych rodzajów ryzyka elementów SREP oraz uwzględnić te prace w celu aktualizacji oceny. W szczególności, przeprowadzając oceny określone w niniejszych wy tycznych właściwe organy powinny wybrać najodpowiedniejsze podejście i najodpowiedniejszą metodologię w zakresie oceny nadzorczej, które są najlepiej dostosowane do instytucji i proporcjonalne, a właściwe organy powinny wykorzystać istniejące i dostępne dokumenty (np. odpowiednie sprawozdania i inne dokumenty, zebrania z kadrą zarządzającą (ryzykiem), ustalenia z kontroli na miejscu) w celu przekazania informacji o ocenie właściwych organów.

Właściwe organy powinny podsumować ustalenia z przeprowadzonych ocen kryteriów określonych w niniejszych wytycznych i wykorzystać je do celów opracowania wniosków z oceny elementów SREP zgodnie z wytycznymi EUNB dotyczącymi SREP.

Ocena zarządzania i strategii ICT przeprowadzona zgodnie z tytułem 2 niniejszych wytycznych powinna w szczególności prowadzić do ustaleń zawierających podsumowanie ustaleń dotyczących elementu SREP dotyczącego oceny zarządzania wewnętrznego i kontroli w całej instytucji zgodnie z tytułem 5 wytycznych EUNB dotyczących SREP oraz znajdować odzwierciedlenie w odpowiedniej punktacji tego elementu SREP. Ponadto właściwe organy powinny wziąć pod uwagę, że każdy istotny negatywny wpływ oceny strategii ICT na strategię biznesową instytucji lub wszelkie obawy, które instytucja ma niewystarczające zasoby ICT i zdolności w zakresie ICT do przeprowadzania i wspierania ważnych planowanych zmian strategicznych, powinien zostać odnotowany w analizie modelu biznesowego przeprowadzonej zgodnie z tytułem 4 wytycznych EUNB dotyczących SREP.

Wynik oceny ryzyka ICT, jak określono w tytule 3 niniejszych wytycznych, powinien dostarczać informacje o ustaleniach w wyniku oceny ryzyka operacyjnego. Należy traktować go jako informację o odpowiedniej punktacji zgodnie z tytułem 6.4 wytycznych EUNB dotyczących SREP.

Zwraca się uwagę, że chociaż zazwyczaj właściwe organy powinny ocenić podkategorie ryzyka w ramach głównych kategorii (tj. ryzyko ICT zostanie ocenione jako część ryzyka operacyjnego), jeżeli właściwe organy uznają określone podkategorie za istotne, mogą dokonać ich oceny w sposób indywidualny. Jeżeli w związku z tym ryzyko ICT miałoby zostać określone przez właściwy organ jako ryzyko poważne, niniejsze wytyczne zawierają również tabelę punktów (tabela 1), która powinna służyć do informowania

• o punktacji każdej podkategorii oddzielnie w odniesieniu do ryzyka ICT w wyniku ogólnego podejścia do punktacji ryzyka w odniesieniu do kapitału w wytycznych EUNB dotyczących SREP

Aby sprawdzić, czy ryzyko ICT należy uznać za poważne, co wiąże się z możliwością oceny i punktacji ryzyka ICT jako oddzielnej podkategorii ryzyka operacyjnego, właściwe władze mogą zastosować kryteria określone w sekcji 6.1 wytycznych EUNB dotyczących SREP.

Podczas stosowania wytycznych właściwe organy powinny, w stosownym przypadku, uwzględnić niewycze rpujący wykaz podkategorii ryzyka ICT i scenariuszy ryzyka, zgodnie z Załącznikiem, z zastrzeżeniem, że w Załączniku położono nacisk na ryzyko ICT, które może prowadzić do strat o poważnych skutkach. Właściwe organy mogą wykluczyć niektóre rodzaje ryzyka ICT uwzględnione w taksonomii, jeżeli nie są istotne dla oceny. Oczekuje się, że instytucje utrzymają własne taksonomie ryzyka niż będą stosować taksonomię ryzyka ICT ustanowioną w Załączniku.

W przypadku gdy niniejsze wytyczne stosuje się w odniesieniu do transgranicznych grup bankowych i ich podmiotów oraz powołano kolegium organów nadzoru, zaangażowane właściwe organy powinny, w kontekście swojej współpracy w ramach oceny SREP określonej w sekcji 11.1 wytycznych EUNB dotyczących SREP, uspójnić w maksymalnym zakresie ścisły i szczegółowy zakres poszczególnych informacji w sposób jednolity dla wszystkich podmiotów grupy.