3.1 Considerações gerais

As autoridades competentes devem avaliar se a instituição identificou, avaliou e mitigou devidamente os riscos de TIC a que está exposta. Este processo deve fazer parte da estrutura de gestão de riscos operacionais e ser coerente com a abordagem aplicável ao risco operacional.

As autoridades competentes devem, em primeiro lugar, identificar os riscos de TIC inerentes significativos aos quais a instituição esteja ou possa estar exposta e, em seguida, efetuar uma avaliação da eficácia da estrutura de gestão dos riscos de TIC da instituição e dos procedimentos e controlos para mitigar esses riscos. O resultado da avaliação deve ser refletido na síntese das conclusões que contribui para a notação de risco operacional nas Orientações relativas ao SREP. Nos casos em que o risco de TIC seja considerado significativo e as autoridades competentes pretendam atribuir uma notação individual, deve ser utilizado o Quadro 1 para atribuir uma notação como um sub-risco do risco operacional.

Ao realizarem a avaliação em conformidade com o presente Título, as autoridades competentes devem utilizar todas as fontes de informação disponíveis, tal como previsto no n.º 127 do Título 6 das Orientações da EBA relativas ao SREP, por exemplo, atividades de gestão de risco da instituição, reportes e resultados, como base para a identificação das suas prioridades de avaliação de supervisão. As autoridades competentes devem também utilizar outras fontes de informação para realizar esta avaliação, designadamente, quando relevante, as fontes seguintes:

• a. autoavaliações de risco e de controlos das TIC (se forem fornecidas no âmbito do ICAAP);
• b. Informação de gestão (MI) relacionada com o risco de TIC comunicada ao órgão de administração da instituição, por exemplo reportes de riscos de TIC periódicos e relacionados com incidentes (incluindo na base de dados de perdas operacionais), dados de exposição ao risco de TIC derivados da função de gestão de risco da instituição;
• c. conclusões de auditorias internas e externas referentes a TIC comunicadas ao comité de auditoria da instituição.