60. As autoridades competentes devem avaliar, especificamente, se a instituição tem uma estrutura …

As autoridades competentes devem avaliar, especificamente, se a instituição tem uma estrutura eficaz em vigor para identificar, compreender e medir o risco de contratação externa de TIC e, em particular, controlos e um ambiente de controlo implementados para mitigar riscos significativos relacionados com serviços de TIC contratados externamente, proporcionais à dimensão, às atividades e ao perfil de risco de TIC da instituição e que incluam:

• a. uma avaliação do impacto da contratação externa de TIC sobre a gestão de riscos da instituição relativamente ao recurso a prestadores de serviço (por exemplo, fornecedores de serviço em nuvem) e aos respetivos serviços durante o processo de aquisição documentado e tido em conta pela direção de topo ou o órgão de administração para a decisão de contratar ou não externamente os serviços. A instituição deve rever as políticas de gestão de riscos de TIC, os controlos de TIC e o ambiente de controlo do prestador de serviço para garantir que cumprem os objetivos de gestão de riscos internos e a apetência pelo risco da instituição. Esta revisão deve ser atualizada periodicamente durante o período contratual de contratação externa, tendo em conta as características dos serviços contratados externamente;
• b. uma monitorização dos riscos de TIC dos serviços contratados externamente durante o período contratual como parte da gestão de riscos da instituição, que contribui para os reportes de gestão de risco de TIC da instituição (como reportes sobre a continuidade da atividade, reportes de segurança);
• c. uma monitorização e comparação dos níveis de serviço recebidos comparativamente aos níveis de serviço acordados contratualmente que devem fazer parte do contrato de contratação externa ou do acordo de nível de serviço (SLA); e

9 Comité de Basileia de Supervisão Bancária, Princípios para a agregação eficaz de dados sobre o risco e a prestação eficaz de informação sobre o risco, janeiro de 2013, disponível online : http://www.bis.org/publ/bcbs239.pdf.

• d. pessoal, recursos e competências adequadas para monitorizar e gerir os riscos de TIC dos serviços contratados externamente.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/