3.1 Considerații generale

Autoritățile competente trebuie să evalueze dacă instituția și - a identificat, evaluat și atenuat în mod corespunzător riscurile asociate TIC. Acest proces trebuie să facă parte din cadrul de gestionare a riscului operațional și să fie congruent cu abordarea care aplică riscul operațional.

Autoritățile competente trebuie să identifice mai întâi riscurile TIC inerente semnificative la care este sau ar putea fi expusă instituția, apoi să efectueze o analiză a eficacității cadrului de gestionare a riscurilor TIC, a procedurilor și a măsurilor de control ale instituției pentru atenuarea acestor riscuri. Rezultatul evaluării trebuie să se reflecte într - o sinteză a constatărilor care stă la baza atribuirii scorului de risc operațional din Ghidul SREP. În cazul în care se consideră că riscul TIC este semnificativ, iar autoritățile competente doresc să atribuie un scor individual, trebuie să se utilizeze tabelul 1 pentru atribuirea unui scor ca risc secundar al riscului operațional.

Atunci când desfășoară evaluarea prevăzută la prezentul titlu, autoritățile competente trebuie să utilizeze toate sursele de informații disponibile menționate la punctul 127 de la titlul 6 din Ghidul SREP al ABE, de exemplu, activitățile de gestionare a riscurilor, raportarea și rezultatele, ca bază pentru identificarea priorităților de evaluare de supraveghere a acestora. Autoritățile competente trebuie să utilizeze și alte surse de informații pentru efectuarea acestei analize, inclusiv următoarele, după caz:

• a. autoevaluări ale riscurilor TIC și ale procedurilor de control al riscurilor (dacă sunt prevăzute în informațiile ICAAP);
• b. informații administrative (IA) privind riscul TIC transmise structurii de conducere a instituției, de exemplu, raportarea riscului TIC periodică și determinată de incidente (inclusiv în baza de date a pierderilor operaționale), datele privind expunerea la riscul TIC de la funcția de gestionare a riscurilor a instituției;
• c. constatările desprinse din auditul intern și extern în legătură cu TIC, care au fost raportate comitetului de audi t al instituției.