60. As autoridades competentes devem avaliar, especificamente, se a instituição tem uma estrutura …

As autoridades competentes devem avaliar, especificamente, se a instituição tem uma estrutura eficaz em vigor para identificar, compreender e medir o risco de contratação externa de TIC e, em particular, controlos e um ambiente de controlo implementados para mitigar riscos significativos relacionados com serviços de TIC contratados externamente, proporcionais à dimensão, às atividades e ao perfil de risco de TIC da instituição e que incluam:

• a. uma avaliação do impacto da contratação externa de TIC sobre a gestão de riscos da instituição relativamente ao recurso a prestadores de serviço (por exemplo, fornecedores de serviço em nuvem) e aos respetivos serviços durante o processo de aquisição documentado e tido em conta pela direção de topo ou o órgão de administração para a decisão de contratar ou não externamente os serviços. A instituição deve rever as políticas de gestão de riscos de TIC, os controlos de TIC e o ambiente de controlo do prestador de serviço para garantir que cumprem os objetivos de gestão de riscos internos e a apetência pelo risco da instituição. Esta revisão deve ser atualizada periodicamente durante o período contratual de contratação externa, tendo em conta as características dos serviços contratados externamente;
• b. uma monitorização dos riscos de TIC dos serviços contratados externamente durante o período contratual como parte da gestão de riscos da instituição, que contribui para os reportes de gestão de risco de TIC da instituição (como reportes sobre a continuidade da atividade, reportes de segurança);
• c. uma monitorização e comparação dos níveis de serviço recebidos comparativamente aos níveis de serviço acordados contratualmente que devem fazer parte do contrato de contratação externa ou do acordo de nível de serviço (SLA); e

9 Comité de Basileia de Supervisão Bancária, Princípios para a agregação eficaz de dados sobre o risco e a prestação eficaz de informação sobre o risco, janeiro de 2013, disponível online : http://www.bis.org/publ/bcbs239.pdf.

• d. pessoal, recursos e competências adequadas para monitorizar e gerir os riscos de TIC dos serviços contratados externamente.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.