Titlul 1 - Dispoziții generale

Autoritățile competente trebuie să evalueze riscul asociat TIC și strategia privind măsurile în materie de guvernanță și TIC în cadrul procesului SREP cu respectarea modelului de angajament minim și a criteriilor privind proporționalitatea prezentate la titlul 2 din Ghidul SREP al ABE. În mod specific, aceasta înseamnă că:

• a. frecvența evaluării riscurilor asociate TIC ar depinde de modelul de angajament minim determinat de categoria SREP în care este încadrată o instituție și de programul specific de supraveghere al acesteia; și
• b. profunzimea, detalierea și intensitatea evaluării TIC trebuie să fie proporționale cu dimensiunea, structura și mediul operațional al instituției, precum și cu natura, amploarea și complexitatea activităților sale.

Principiul proporționalității se aplică, pe parcursul prezentului ghid, la nivelul domeniului de aplicare, al frecvenței și al intensității angajamentului de supraveghere și al dialogului stabilit cu o instituție, precum și la nivelul așteptărilor în ceea ce privește standardele pe care trebuie să le respecte instituția.

Autoritățile competente s - ar putea baza pe sau ar putea lua în considerare activitatea deja desfășurată de către instituție sau de către autoritatea competentă în contextul evaluărilor altor riscuri sau elemente SREP pentru a avea o versiune actualizată a evaluării. În mod specific, atunci când efectuează evaluările prevăzute în prezentul ghid, autoritățile competente trebuie să selecteze cea mai adecvată abordare și metodologie de evaluare de supraveghere, care să fie cele mai potrivite și mai proporționale pentru instituție, iar autoritățile competente trebuie să utilizeze documentația existentă și disponibilă [de exemplu, rapoarte relevante și alte documente, reuniuni cu factori de gestionare (a riscurilor], constatări rezultate din inspecțiile la fața locului) pentru a fundamenta evaluarea autorităților competente.

Autoritățile competente trebuie să sintetizeze constatările evaluărilor lor asupra criteriilor prevăzute în prezentul ghid și să le utilizeze pentru a ajunge la concluz ii cu privire la evaluarea elementelor SREP prevăzute în Ghidul SREP al ABE.

În mod specific, evaluarea strategiei privind guvernanța și TIC, care a fost efectuată în conformitate cu titlul 2 din prezentul ghid, trebuie să genereze constatări care să fundamenteze sinteza constatărilor evaluării elementului SREP privind procedurile de control intern al guvernanței și la nivelul instituției prevăzute la titlul 5 din Ghidul SREP al ABE și să se reflecte în scorul respectiv atribuit elementului SREP respectiv. Mai mult, autoritățile competente trebuie să aibă în vedere faptul că orice impact negativ semnificativ al evaluării strategiei TIC asupra strategiei economice a instituției sau orice preocupări referitoare la faptul că s - ar putea ca instituția să nu aibă suficiente resurse și capacități TIC pentru a realiza și a susține schimbările strategice planificate importante trebuie să fundamenteze analiza modelului economic efectuată în conformitate cu titlul 4 din Ghidul SREP al ABE.

Rezultatul evaluării riscului TIC prevăzute în titlul 3 din prezentul ghid trebuie să fundamenteze constatările evaluării riscului operațional și trebuie să fie considerat ca un element care fundamentează scorul relevant prevăzut la titlul 6.4 din Ghidul SREP al ABE.

Este de precizat faptul că, deși autoritățile competente trebuie să evalueze, în general, subcategoriile de riscuri în cadrul categoriilor principale (mai exact, riscul TIC va fi evaluat în cadrul riscului operațional), în cazul în care acestea consideră că unele subcategorii sunt semnificative, acestea pot evalua individual astfel de subcategorii. În acest scop, în cazul în care riscul TIC este identificat ca fiind un risc semnificativ de către autoritatea competentă, prezentul ghid prezintă și un tabel de atribuire a scorului (tabelul 1) care trebuie utilizat pentru a atribui un scor de sine stătător subcategoriei de risc TIC cu respectarea abordării generale a atribuirii scorului pentru riscurile de capital din Ghidul SREP al ABE.

Pentru a- și forma o opinie cu privire la problema dacă riscul TIC trebuie considerat drept unul material și, prin urmare, dacă trebuie să se evalueze posibilitatea unui risc TIC și să se atribuie un scor în acest sens ca subcategorie individuală de risc operațional, autoritățile competente pot u tiliza criteriile prevăzute la secțiunea 6.1 din Ghidul SREP al ABE.

Atunci când aplică prezentul ghid, autoritățile competente trebuie să aibă în vedere, dacă este cazul, lista incompletă a subcategoriilor de risc TIC și a scenariilor de risc prezentată în anexă, cu precizarea că anexa evidențiază riscurile TIC care pot genera pierderi cu un grad ridicat de severitate. Autoritățile competente ar putea exclude unele riscuri TIC incluse în taxonomie dacă nu sunt relevante pentru evaluarea lor. Se așteaptă din partea instituțiilor să întrețină propriile taxonomii ale riscurilor, în loc să utilizeze taxonomia riscului TIC prezentată în anexă.

În cazul în care prezentul ghid se aplică în legătură cu grupuri bancare transfrontaliere și entitățile acestora și s -a înființat un colegiu de supraveghetori, autoritățile competente implicate trebuie, în contextul colaborării lor în scopul evaluării SREP în conformitate cu secțiunea 11.1 din ghidul SREP al ABE, să coordoneze, în măsura posibilității, domeniul de aplicare exact și detaliat al fiecărei informații, în mod consecvent pentru toate entitățile din cadrul grupurilor.