2.1 Zasady ogólne

Właściwe organy powinny ocenić, czy ogólne zarządzanie instytucji oraz ramy kontroli wewnętrznej należcie uwzględniają systemy ICT i powiązane rodzaje ryzyka, a jeżeli organ zarządzający odpowiednio zajmuje się i zarządza tymi aspektami, jako że ICT stanowią integralny element prawidłowego funkcjonowania instytucji.

Przeprowadzając ocenę, właściwe organy powinny powołać się na wymogi i normy dobrego zarządzania wewnętrznego oraz na ustalenia w zakresie kontroli ryzyka zgodnie z Wytycznymi EUNB w sprawie zarządzania wewnętrznego (GL 44)⁴ oraz wytyczne międzynarodowe w tym obszarze w zakresie, w jakim mają one zastosowanie w świetle specyfiki systemów i rodzajów ryzyka ICT.

Ocena, o której mowa w niniejszym tytule, nie obejmuje konkretnych elementów zarządzania systemem ICT, zarządzania ryzykiem i kontroli, które są ukierunkowane na zarządzanie specjalnymi rodzajami ryzyka ICT, o których mowa w tytule 3 niniejszych wytycznych, lecz dotyczy następujących obszarów:

• a. strategii ICT - czy instytucja ma strategię w obszarze ICT, która podlega odpowiedniemu zarządzaniu i jest zgodna ze strategią biznesową instytucji;
• b. ogólnego zarządzania wewnętrznego – czy ogólne ustalenia instytucji dotyczące zarządzania wewnętrznego są adekwatne w stosunku do systemów ICT instytucji oraz
• c. ryzyka ICT w ramach zarządzania ryzykiem instytucji – czy zarządzanie ryzykiem w instytucji i ramy kontroli wewnętrznej zapewniają odpowiednie zabezpieczenia systemom ICT instytucji.

Litera a) przywołana w ust. 22, w kontekście dostarczania informacji o elementach zarządzania w instytucji, powinna stanowić podstawę oceny modelu biznesowego, o którym mowa w tytule 4 wytycznych EUNB w sprawie SREP. Litery b) i c) uzupełniają oceny tematów, o których mowa w tytule 5 wytycznych EUNB dotyczących SREP, a ocena opisana w niniejszych wytycznych zostanie w ykorzystana w odpowiedniej ocenie na podstawie tytułu 5 wytycznych EUNB dotyczących SREP.

Wynik tej oceny powinien, w stosownym przypadku, uzupełniać ocenę zarządzania ryzykiem i kontroli, o której mowa w tytule 3 niniejszych wytycznych.