2.4 Risco de TIC na estrutura de gestão de risco da instituição

Na avaliação da gestão de risco e de controlos internos a nível da instituição, tal como previsto no Título 5 das Orientações da EBA relativas ao SREP, as autoridades competentes devem ter em consideração se a estrutura de gestão de risco e de controlo interno da instituição salvaguarda adequadamente os sistemas de TIC da instituição de uma forma que seja proporcional à dimensão e às atividades da instituição e ao seu perfil de risco de TIC tal como definido no Título 3. As autoridades competentes devem determinar, em particular, se:

• a. a apetência pelo risco e o processo de autoavaliação da adequação do capital interno (ICAAP) cobrem os riscos de TIC, no quadro da categoria mais ampla de risco operacional, para a definição da estratégia global de risco e para a determinação do capital interno; e
• b. os riscos de TIC estão incluídos no âmbito das estruturas de gestão de risco e de controlo interno da instituição.

As autoridades competentes devem realizar a avaliação referida na alínea a) tendo em conta quer os cenários previstos quer os cenários adversos, tais como os cenários incluídos no teste de esforço específico da instituição ou no teste de esforço de supervisão.

No que se refere especificamente à alínea b), as autoridades competentes devem avaliar se as funções de controlo independente e de auditoria interna, detalhadas no n.º 104, alíneas a) e d), e no n.º 105, alíneas a) e c) das Orientações da EBA relativas ao SREP, são apropriadas para assegurar um nível suficiente de independência entre as TIC e as funções de controlo e auditoria, tendo em conta a dimensão e o perfil de risco de TIC da instituição.