49. Właściwe organy powinny sprawdzić, czy instytucja opracowała odpowied nie strategie polityczne …

Właściwe organy powinny sprawdzić, czy instytucja opracowała odpowied nie strategie polityczne zarządzania ryzykiem, procesy i pułapy tolerancji w odniesieniu do stwierdzonych istotnych rodzajów ryzyka ICT. Mogą być one częścią ram zarządzania ryzykiem operacyjnym lub zostać ujęte w oddzielnym dokumencie. W ramach tej oceny właściwe organy powinny uwzględnić, czy:

• a. polityka zarządzania ryzykiem została sformalizowana i zatwierdzona przez organ zarządzający i zawiera wystarczające wytyczne dotyczące gotowości do podejmowania ryzyka ICT, głównych celów zarządzania ryzykiem ICT lub stosowanych pułapów tolerancji ryzyka ICT. Odpowiednia strategia polityczna zarządzania ryzykiem ICT powinna zostać również podana do wiadomości odpowiednich zainteresowanych stron;
• b. mająca zastosowanie strategia polityczna obejmuje wszystkie kluczowe e lementy zarządzania ryzykiem w odniesieniu do stwierdzonych istotnych rodzajów ryzyka;
• c. instytucja wdrożyła proces i procedury bazowe dotyczące identyfikacji (np. „samodzielną ocenę kontroli ryzyka, analizę scenariusza ryzyka) i monitorowania odpowiednich rodzajów istotnego ryzyka oraz
• d. instytucja wprowadziła mechanizm sprawozdawczości dotyczący zarządzania ryzykiem ICT, który w sposób terminowy zapewnia informacje kierownictwu wyższego szczebla i organowi zarządzającemu i który umożliwia kierownictwu wyższego szczebla lub organowi zarządzającemu ocenę i monitorowanie, czy plany i działania dotyczące ograniczenia ryzyka ICT instytucji są spójne z zatwierdzoną gotowością do podejmowania ryzyka lub zatwierdzonymi pułapami tolerancji (w stosownym przypadku) oraz monitorowanie zmian istotnych rodzajów ryzyka ICT.

3.3.2 Ramy zarządzania i nadzorowania organizacyjnego

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/