2.4 Riscul TIC în cadrul de gestionare a riscurilor instituției

Atunci când evaluează procedurile de control interne și de gestionare a riscurilor la nivelul instituției ale instituției, astfel cum sunt prevăzute la titlul 5 din Ghidul SREP al ABE, autoritățile competente trebuie să aibă în vedere dacă cadrul de control intern și de gestionare a riscurilor al instituției protejează în mod corespunzător sistemele TIC ale instituției proporțional cu dimensiunea și activitățile instituției, precum și cu profilul de risc TIC prevăzut la titlul 3. În special, autoritățile competente trebuie să stabilească dacă:

• a. apetitul la risc și ICAAP cuprind riscurile TIC în categoria mai amplă a riscului operațional pentru definirea strategiei generale privind riscurile și stabilirea capitalului intern; și
• b. riscurile TIC sunt incluse în domeniul de aplicare al cadrelor de control intern și de gestionare a riscurilor la nivelul instituției.

Autoritățile competente trebuie să efectueze analiza de la litera (a) de mai sus ținând cont de scenariul preconizat și de cel opus, de exemplu, scenariile incluse în verificarea specifică instituției sau în simularea de criză de supraveghere.

Având în vedere în mod specific litera (b), autoritățile competente trebuie să evalueze dacă funcțiile de control și audit intern independente detaliate la punctul (104) literele (a) și (d) și la punctul (105) literele

• (a) și (c) din Ghidul SREP al ABE sunt adecvate pentru a asigura un nivel suficient de independență între TIC și funcțiile de control și audit, date fiind dimensiunea și profilul de risc TIC al instituției.