60. Właściwe organy powinny w szczególności ocenić, czy instytucja posiada skuteczne ramy …

Właściwe organy powinny w szczególności ocenić, czy instytucja posiada skuteczne ramy identyfikacji, zrozumienia i pomiaru ryzyka związanego z outsourcingiem ICT, a w szczególności czy zapewnia kontrole i środowisko kontroli w celu ograniczania ryzyka związanego z istotnymi usługami ICT objętymi outsourcingiem, które są dostosowane do wielkości, działań i profilu ryzyka ICT instytucji i obejmują:

• a. ocenę wpływu outsourcingu ICT na zarządzanie ryzykiem instytucji w powiązaniu z korzystaniem z u sługodawców (np. dostawców usług w chmurze) oraz ich usług w procesie przetargu, udokumentowaną i uwzględnianą przez kierownictwo wyższego szczebla lub organ zarządczy podczas podejmowania decyzji o outsourcingu usług. Instytucja powinna dokonać przeglądu strategii zarządzania ryzykiem ICT oraz kontroli i środowiska kontroli dostawców, aby dopilnować, że są zgodne z wewnętrznymi celami instytucji w zakresie zarządzania ryzykiem oraz gotowości do podejmowania ryzyka. Przegląd powinien być okresowo aktualiz owany w czasie trwania umowy o outsourcing, z uwzględnieniem cech usług podlegających outsourcingowi;
• b. monitorowanie ryzyka ICT usług objętych outsourcingiem w czasie trwania umowy o outsourcingu w ramach zarządzania ryzykiem instytucji, które jest uwzględniane w sprawozdaniach dotyczących zarządzania ryzykiem ICT w instytucji (np. sprawozdawczość dotycząca ciągłości biznesowej, sprawozdawczość dotycząca bezpieczeństwa);
• c. monitorowanie i porównanie świadczonego poziomu usług z umownie uzgodnionym poziomem u sług, który powinien stanowić część umowy o outsourcing usług lub umowy o gwarantowanym poziomie usług (SLA) oraz
• d. adekwatny personel oraz adekwatne zasoby i kompetencje do monitorowania ryzyka ICT i zarządzania tym ryzykiem ze strony usług objętych outsour cingiem.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/