Título 1 - Disposições gerais

As autoridades competentes devem realizar a avaliação do risco das TIC, do mecanismo de governo da TIC e da estratégia para as TIC no quadro do processo SREP, seguindo o modelo de compromisso mínimo e os requisitos de proporcionalidade especificados no Título 2 das Orientações da EBA relativas ao SREP. Tal significa, especificamente, que:

• a. a frequência da avaliação do risco das TIC depende do modelo de compromisso mínimo implementado com base na categoria SREP atribuída à instituição e do respetivo plano de atividades de supervisão; e
• b. a exaustividade, o detalhe e a intensidade da avaliação das TIC devem ser proporcionais à dimensão, à estrutura e ao ambiente operacional da instituição, bem como à natureza, à escala e à complexidade das suas atividades.

O princípio de proporcionalidade aplica-se ao longo das presentes orientações ao âmbito, à frequência e à intensidade do compromisso de supervisão e diálogo com uma instituição e às expectativas de supervisão das normas que a instituição deve cumprir.

As autoridades competentes podem basear-se no trabalho já levado a cabo pela instituição ou pela autoridade competente no contexto das avaliações de outros riscos ou elementos do SREP e ter em linha de conta esse trabalho a fim de atualizar a avaliação. Especificamente, ao realizarem as avaliações previstas nas presentes orientações, as autoridades competentes devem selecionar a abordagem de avaliação mais adequada e a metodologia mais apropriada e proporcional à instituição, e utilizar a documentação existente e disponível (por exemplo, relatórios relevantes e outros documentos, reuniões de gestão (de riscos), conclusões de inspeções on-site ) para instruir a sua avaliação.

As autoridades competentes devem sintetizar as conclusões das suas avaliações dos critérios especificados nas presentes orientações e utilizá-las com o objetivo de chegarem a conclusões sobre a avaliação dos elementos do SREP, tal como especificado nas Orientações da EBA relativas ao SREP.

Em particular, a avaliação do governo e da estratégia de TIC efetuada nos termos do Título 2 das presentes orientações deve resultar em conclusões que instruam a síntese das conclusões da avaliação do elemento de governo interno e dos controlos ao nível da instituição, prevista no Título 5 das Orientações da EBA relativas ao SREP, e deve ser refletida na respetiva notação desse elemento SREP. Além disso, as autoridades competentes devem ter em consideração que qualquer impacto negativo significativo da avaliação da estratégia de TIC na estratégia de negócio da instituição, bem como quaisquer preocupações de que a instituição possa não dispor de recursos e competências de TIC suficientes para realizar e suportar importantes alterações estratégicas planeadas, devem instruir a análise do modelo de negócio realizada nos termos do Título 4 das Orientações da EBA relativas ao SREP.

O resultado da avaliação do risco de TIC, tal como especificado no Título 3 das presentes orientações, deve instruir as conclusões da avaliação do risco operacional e deve ser considerado como elucidativo da notação relevante, conforme especificado no Título 6.4 das Orientações da EBA relativas ao SREP.

Cabe notar que as autoridades competentes, ainda que devam, regra geral, avaliar as subcategorias de riscos no quadro das principais categorias ( i.e. , o risco das TIC deve ser avaliado no quadro do risco operacional), podem avaliar individualmente as subcategorias que considerem significativas. Para o efeito, caso o risco das TIC seja identificado como risco significativo pela autoridade competente, estas orientações também fornecem um quadro de notação (Quadro 1) que deve ser utilizado para a atribuição de uma notação de subcategoria autónoma para o risco das TIC, seguindo a abordagem global para atribuir uma notação aos riscos de capital definida nas Orientações da EBA relativas ao SREP.

Para chegar a uma conclusão sobre se o risco de TIC deve ser considerado significativo e, consequentemente, sobre a possibilidade desse risco ser avaliado e classificado como uma subcategoria individual do risco operacional, as autoridades competentes podem utilizar os critérios especificados na secção 6.1 das Orientações da EBA relativas ao SREP.

Ao aplicarem as presentes orientações, as autoridades competentes devem, quando relevante, ter em conta a lista não exaustiva de subcategorias de risco das TIC e os cenários de risco indicados no Anexo, tendo em consideração que o Anexo se centra nos riscos de TIC suscetíveis de resultar em perdas graves. As autoridades competentes podem excluir os riscos de TIC incluídos na taxonomia que não sejam pertinentes para a sua avaliação. Espera-se que as instituições tenham as suas próprias taxonomias de riscos das TIC e não que utilizem a taxonomia de riscos das TIC indicada no Anexo.

Sempre que as presentes orientações sejam aplicadas em relação a grupos bancários transfronteiriços e respetivas entidades e que tenha sido criado um colégio de entidades de supervisão, as autoridades competentes envolvidas devem, no contexto da sua cooperação para a avaliação do SREP em conformidade com a secção 11.1 das Orientações da EBA relativas ao SREP, coordenar, tanto quanto possível e de uma forma coerente para todas as entidades do grupo, o âmbito exato e detalhado de cada elemento de informação.