50. Właściwe organy powinny ocenić, jak mające zastosowanie role i obowiązki z obszaru zarządzania …

Właściwe organy powinny ocenić, jak mające zastosowanie role i obowiązki z obszaru zarządzania ryzykiem zostały włączone w organizację wewnętrzną w celu zarządzania stwierdzonym istotnym ryzykiem ICT oraz jego nadzorowania. W związku z tym właściwe organy powinny ocenić, czy instytucja:

• a. posiada jasne role i obowiązki w zakresie identyfikacji, oceny, monitorowania, ograniczania, zgłaszania i nadzorowania odpowiedniego istotnego ryzyka ICT;
• b. udowodniła, że role i obowiązki w obszarze ryzyka, zostały jasno określone, przydzielone i włączone we wszystkie odpowiednie części (np. linie biznesowe, IT) i procesy organizacji, w tym role i obowiązki związane z gromadzeniem i agregowaniem informacji na temat ryzyka i zgłaszania ich kierownictwu wyższego szczebla lub organowi zarządzającemu;
• c. wykazała, że działania z zakresu zarządzania ryzykiem bazują na dostatecznych i odpowiednich jakościowo zasobach ludzkich i technicznych. Aby ocenić wiarygodność mających zastosowanie planów ograniczania ryzyka, właściwe organy powinny również ocenić, czy instytucja przydzieliła dostateczne środki budżetowe lub inne niezbędne zasoby w celu ich wdrożenia;
• d. wykazała odpowiednie działania następcze i reakcje organu zarządzającego w odniesieniu do ważnych ustaleń komórki niezależnej kontroli dotyczących ryzyka ICT, z uwzględnieniem ewentualnej delegacji niektórych aspektów komitetu, jeżeli takowe istnieją oraz
• e. wykazała, że oczekiwania dotyczące mających zastosowanie regulacji i strategii politycznych ICT zostały odnotowane i podlegają udokumentowanemu przeglądowi i sprawozdawczości ze strony niezależnej komórki kontroli z naciskiem na powiązane ryzyka. 3.3.3 Zakres audytu wewnętrznego i ustalenia

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/