3.3 Evaluarea procedurilor de control pentru reducerea riscurilor semnificative TIC

Pentru a evalua expunerea instituției la riscul rezidual TIC, autoritățile competente trebuie să analizeze modul în care instituția identifică, monitorizează, evaluează și atenuează riscurile semnificative identificate de către autoritățile competente în evaluarea de mai sus.

În acest scop, în cazul riscurilor TIC semnificative identificate, autoritățile competente trebuie să analizeze următoarele elemente aplicabile:

• a. politica și procesele de gestionare a riscurilor TIC, precum și pragurile de toleranță la risc;
• b. cadrul de gestionare și supraveghere organizațională;
• c. acoperirea acțiunii de audit intern și constatările desprinse ca urmare a acesteia; și
• d. procedurile de control al riscurilor TIC specifice riscului TIC semnificativ identificat.

Evaluarea trebuie să țină cont de rezultatul analizei cadrului general de gestionare și co ntrol intern al riscurilor prevăzut la titlul 5 din Ghidul SREP al ABE, precum și al analizei guvernanței și strategiei instituției, care sunt abordate la titlul 2 din prezentul ghid, deoarece deficiențele semnificative identificate în aceste domenii ar pu tea influența capacitatea instituției de a gestiona și a atenua expunerile la riscul TIC ale acesteia. Dacă este cazul, autoritățile competente trebuie să utilizeze și sursele de informații de la punctul 37 din prezentul ghid.

Autoritățile competente trebuie să parcurgă următoarele etape de evaluare proporțional cu natura, amploarea și complexitatea activităților instituției și cu aplicarea unei analize de supraveghere adecvate pentru profilul de risc TIC al instituției.

3.3.1 Politica și procesele de gestionare a riscurilor TIC, precum și pragurile de toleranță la risc

Autoritățile competente trebuie să analizeze dacă instituția a instituit politici și procese adecvate de gestionare a riscurilor, precum și praguri de toleranță pentru riscurile TIC semnificative i dentificate. Acestea pot fi incluse în cadrul de gestionare a riscurilor operaționale sau într -un document separat. În scopul acestei evaluări, autoritățile competente trebuie să țină cont de următoarele:

• a. dacă politica de gestionare a riscurilor este formalizată și aprobată de către structura de conducere și dacă aceasta cuprinde orientări suficiente cu privire la apetitul la riscul TIC al instituției și la principalele obiective de gestionare a riscurilor TIC urmărite și/sau la pragurile de toleranță la riscul TIC aplicate; dacă politica relevantă de gestionare a riscurilor TIC trebuie comunicată, de asemenea, tuturor părților interesate relevante;
• b. dacă politica aplicabilă cuprinde toate elementele semnificative pentru gestionarea riscurilor TIC semnificative identificate;
• c. instituția a implementat un proces și proceduri aferente pentru identificarea (de exemplu, „autoevaluări privind controlarea riscurilor” (ACR), analiza scenariilor de risc) și monitorizarea riscurilor TIC semnificative implicate; și
• d. dacă instituția a instituit un sistem de raportare pentru gestionarea riscurilor TIC, care oferă informații prompte organelor cu funcție de conducere și structurii de conducere și care permite acestor organe și/sau acestei structuri să evalueze și să monitorizeze dacă planurile și măsurile de atenuare a riscurilor TIC ale instituției sunt în concordanță cu apetitul la risc și/sau pragurile de toleranță aprobate (după caz), precum și să monitorizeze schimbările produse la nivelul riscurilor TIC semnificative.

3.3.2 Cadrul de gestionare și supraveghere organizațională

Autoritățile competente trebuie să evalueze modul în care rolurile și responsabilitățile de gestionare a riscurilor aplicabile sunt încorporate și integrate în organizarea internă pentru gestionarea și supravegherea riscurilor TIC semnificative identificate. În acest sens, autoritățile competente trebuie să evalueze dacă instituția demonstrează următoarele:

• a. existența unor roluri și responsabilități clare pentru identificarea, evaluarea, monitorizarea, at enuarea, raportarea și supravegherea riscului TIC semnificativ implicat;
• b. dacă responsabilitățile și rolurile privind riscurile sunt comunicate în mod clar, alocate și integrate în toate părțile (de exemplu, linii de activitate, IT) și procesele relevante a le organizației, inclusiv rolurile și responsabilitățile privind colectarea și agregarea informațiilor despre riscuri și raportarea acestora către organele cu funcție de conducere și/sau structura de conducere;
• c. dacă activitățile de gestionare a riscurilor TIC sunt desfășurate cu resurse umane și tehnice suficiente și corespunzătoare calitativ. Pentru a evalua credibilitatea planurilor de atenuare a riscurilor aplicabile, autoritățile competente trebuie să analizeze și dacă instituția a alocat suficiente fo nduri bugetare și/sau alte resurse necesare pentru punerea în aplicare a acestora;
• d. faptul că structura de conducere a întreprins acțiuni de continuare și de răspuns adecvate cu privire la constatări importante ale funcțiilor de control independente referit oare la riscul (riscurile) TIC, ținând cont de o posibilă delegare a unor aspecte către un comitet, dacă acesta există; și
• e. dacă excepțiile de la normele și politicile TIC aplicabile sunt înregistrate și supuse unei analize documentare și raportări din partea unei funcții de control independente, cu axarea pe riscurile conexe.

3.3.3 Acoperirea acțiunii de audit intern și constatările desprinse ca urmare a acesteia

Autoritățile competente trebuie să verifice dacă funcția de audit intern este eficace în ceea ce privește auditarea cadrului de control al riscurilor TIC, analizând dacă:

• a. cadrul de control al riscurilor TIC este auditat la calitatea, profunzimea și frecvența impusă și proporțional cu dimensiunea, activitățile și profilul de risc TIC al instituției;
• b. planul de audit include acțiuni de audit privind riscurile TIC esențiale identificate de către instituție;
• c. constatările importante ale auditului cu privire la TIC, inclusiv acțiunile convenite, sunt raportate structurii de conducere;
• d. constatările auditului cu privire la TIC, inclusiv acțiunile convenite, sunt urmărite și se analizează periodic rapoartele privind progresele înregistrate de către organele cu funcție de conducere și/sau comitetul de audit.

3.3.4 Procedurile de control al riscurilor TIC specifice riscurilor TIC semnificative identificate

În cazul riscurilor TIC semnificative identificate, autoritățile competente trebuie să evalueze dacă instituția a stabilit proceduri de control specifice pentru abordarea acestor riscuri. În secțiunile următoare se prezintă o listă incompletă a procedurilor de control specifice care să fie luate în conside rare atunci când se evaluează riscurile semnificative identificate la punctul 3.2.3, care au fost cartografiate și clasificate în următoarele categorii de riscuri TIC:

• a. riscuri de disponibilitate și continuitate TIC;
• b. riscuri de securitate TIC;
• c. riscuri de sc himbare TIC;
• d. riscuri de integritate a datelor TIC;
• e. riscuri de externalizare TIC.
• (a) Proceduri de control pentru gestionarea riscurilor de disponibilitate și continuitate TIC semnificative

În plus față de cerințele din Ghidul SREP al ABE (punctele 279 - 281), autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru adecvat pentru identificarea, înțelegerea, măsurarea și atenuarea riscurilor de disponibilitate și continuitate TIC.

În scopul acestei evaluări, autoritățile competente trebuie să aibă în vedere, în mod specific, dacă în respectivul cadru:

• a. se identifică procesele TIC esențiale și sistemele TIC de susținere relevante care trebuie să facă parte din planurile de reziliență și continuitate economică, alături de:
• i. o analiză cuprinzătoare a dependențelor dintre procesele economice și sistemele de susținere esențiale;
• ii. stabilirea obiectivelor de recuperare pentru susținerea sistemelor TIC (de exemplu, stabilite, de regulă, prin intermediul activității și/sau regulamente la nivelul OTR și OPR);
• iii. o planificare de urgență adecvată pentru a asigura disponibilitatea, continuitatea și recuperarea sistemelor și serviciilor TIC esențiale în vederea reducerii la minim a întreruperii operațiunilor instituției în limitele acceptabile.
• b. există politici și standarde privind reziliența economică și mediul de control al continuității, precum și proceduri de control operațional care includ:
• i. măsuri pentru a evita ca un singur scenariu, incident sau dezastru să aibă un impact asupra sistemelor de dezvoltare și recuperare TIC;
• ii. proceduri de rezervă și de recuperare a sistemului TIC pentru software și date esențiale, care să asigure stocarea acestor rezerve într- o locație sigură și suficient de îndepărtată încât un incident sau un dezastru să nu poată distruge sau corupe aceste date esențiale;
• iii. soluții de monitorizare pentru detectarea promptă a incidentelor legate de disponibilitatea și continuitatea TIC;
• iv. un proces documentat de gestionare și escaladare a incidentelor, care să ofere și îndrumări cu privire la diferitele roluri și responsabilități de gestionare și escaladare a incidentelor, membrii comitetului (comitetelor) de criză și lanțul de comandă în caz de urgență;
• v. măsuri fizice pentru a proteja infrastructura TIC esențială a instituției (de exemplu, centre de date) de riscurile de mediu (de exemplu, inundații și alte calamități naturale) și a asigura un mediu de funcționare adecvat pentru sistemele TIC (de exemplu, aer condiționat);
• vi. procese, roluri și responsabilități pentru a asigura faptul că soluțiile și planurile de reziliență și continuitate a activității adecvate acoperă, de asemenea, sistemele și serviciile TIC externalizate;
• vii. soluții de planificare și monitorizare a performanței și capacității TIC pentru sisteme și servicii TIC esențiale cu cerințe stabilite privind disponibilitatea, pentru a depista cu promptitudine constrângerile importante la nivel de performanță și capacitate;
• viii. soluții pentru a proteja activități sau servicii de Internet esențiale (de exemplu, servicii bancare electronice), dacă este necesar și adecvat, de blocarea accesului și alte atacuri cibernetice de pe Internet, care vizează împiedicarea sau perturbarea accesului la aceste activități și servicii.
• c. se testează soluții de disponibilitate și continuitate TIC în contextul unei serii de scenarii realiste, inclusiv atacuri cibernetice, teste de siguranță și teste pentru salvare de rezervă în cazul software - ului și al datelor esențiale care:
• i. sunt planificate, formalizate și documentate, iar rezultatele testelor sunt utilizate pentru a crește eficacitatea soluțiilor de disponibilitate și continuitate TIC;
• ii. includ părți interesate și funcții din cadrul organizației, cum ar fi sistemul de administrare a liniilor de activitate care include echipe de continuitate a activității și de intervenție în caz de incidente sau criză, precum și părți interesate externe relevante din ecosistem;
• iii. structura de conducere și organele cu funcție de conducere sunt implicate în mod corespunzător (de exemplu, în cadrul echipelor de gestionare a crizelor) și sunt informate cu privire la rezultatele testelor.
• (b) Proceduri de control pentru gestionarea riscurilor de securitate TIC semnificative

Autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru identificarea, înțelegerea, măsurarea și atenuarea riscului de securitate TIC. În scopul acestei evaluări, autoritățile competente trebuie să aibă în vedere, în mod specific, dacă în respectivul cadru sunt prevăzute următoarele:

• a. roluri și responsabilități definite clar cu privire la:
• i. persoana (persoanele) și/sau comitetele responsabile și/sau răspunzătoare pentru gestionarea curentă a securității TIC și elaborarea de politici generale de securitate TIC, acordându -se atenție independenței lor necesare;
• ii. proiectarea, implementarea, gestionarea și monitorizarea procedurilor de control privind securitatea TIC;
• iii. protecția sistemelor și serviciilor TIC esențiale, spre ex emplu prin adoptarea unui proces de evaluare a vulnerabilității, gestionarea patch - ului software, protecția punctului final (de exemplu, un virus malware), instrumente de detectare și prevenire a intrușilor;
• iv. monitorizarea, clasificarea și abordarea incidentelor de securitate TIC externe sau interne; inclusiv intervenția în caz de incidente și relansarea și recuperarea sistemelor și serviciilor TIC;
• v. evaluări regulate și proactive ale amenințărilor pentru menținerea de proceduri de control al securității ad ecvate.
• b. o politică de securitate TIC care ia în considerare și, după caz, respectă standarde și principii de securitate TIC recunoscute la nivel internațional (de exemplu, „principiul celui mai mic privilegiu”, adică limitarea accesului la nivelul minim care va permite funcționarea normală pentru gestionarea dreptului de acces, și principiul „apărării în profunzime”, adică mecanismele de securitate stratificate cresc nivelul de securitate al sistemului în ansamblu pentru proiectarea arhitecturii de securita te);
• c. un proces pentru identificarea sistemelor și serviciilor TIC și cerințe proporționale privind securitatea care să reflecte un eventual risc de fraudă și/sau posibile utilizări greșite și/sau abuzuri de date confidențiale, precum și așteptări documentate în materie de securitate care să fie respectate pentru aceste sisteme, servicii și date TIC identificate, în concordanță cu toleranța la risc a instituției și cu monitorizarea implementării corecte a acestora;
• d. un proces documentat de gestionare și escaladare a incidentelor legate de securitate, care să ofere îndrumări cu privire la diferitele roluri și responsabilități de gestionare și escaladare a incidentelor, membrii comitetului (comitetelor) de criză și lanțul de comandă în cazuri de urgență de secur itate;
• e. funcția de înregistrare a utilizatorilor și a activității administrative pentru a permite monitorizarea eficace și detectarea și intervenția promptă în cazul unei activități neautorizate; asistarea la sau desfășurarea de anchete criminalistice cu privire la incidente de securitate. Instituția trebuie să instituie politici de înregistrare prin care să se stabilească tipuri corespunzătoare de registre de evidență care să fie păstrate, precum și perioada de păstrare a acestora;
• f. campanii sau inițiative de sensibilizare și informare pentru a informa toate nivelurile din cadrul instituției cu privire la utilizarea sigură și protecția sistemelor TIC ale instituției, precum și la principalele riscuri de securitate TIC (și alte riscuri) pe care trebuie să le cunoască acestea, în special cu privire la amenințările cibernetice existente și cele evolutive (de exemplu, viruși informatici, posibile abuzuri sau atacuri interne sau externe, atacuri cibernetice) și rolul acestora în reducerea breșelor de securitate;
• g. măsuri de securitate fizice adecvate (de exemplu, sisteme CCTV, alarme antifurt, uși de securitate) pentru prevenirea accesului fizic neautorizat la sisteme TIC esențiale și sensibile (de exemplu, centre de date);
• h. măsuri pentru protejarea sistemelor TIC de atacurile de pe Internet (de exemplu, atacuri cibernetice) sau alte rețele externe (de exemplu, legături de telecomunicații tradiționale sau legături cu parteneri de încredere). Autoritățile competente trebuie să analizeze dacă în cadrul instituției sunt avute în vedere următoarele:
• i. un proces și soluții pentru întreținerea unui inventar de date complet și actualizat și evidența tuturor punctelor de conectare la rețea cu orientare spre exterior (de exemplu, site- uri, aplicații pe Internet, WIFI, acces la distanță) prin care terții ar putea să spargă sistemele TIC interne.
• ii. măsuri de securitate gestionate și monitorizate îndeaproape (de exemplu, sisteme de tip firewall, servere proxy, sisteme de retransmitere a mesajelor, sisteme de scanare antivirus ș i de c onținut) pentru a securiza traficul care intră și care iese din rețea (de exemplu, mesajele electronice) și conexiunile la rețea cu orientare spre exterior prin care terții ar putea să spargă sistemele TIC interne;
• iii. procese și soluții pentru securizarea si te- urilor și aplicațiilor care pot fi atacate în mod direct de pe Internet și/sau din exterior și care pot constitui drept puncte de intrare în sistemele TIC interne. În general, acestea includ o combinație de practici de dezvoltare sigure recunoscute, practici de scanare a vulnerabilității și consolidare a sistemelor TIC și/sau implementarea de soluții de securitate suplimentare precum, de exemplu, sistemele de tip firewall și/sau detectarea intrușilor (IDS) și/sau de prevenire a intrușilor;
• iv. teste periodic e de pătrundere în sistemul de securitate pentru a evalua eficacitatea măsurilor și proceselor de securitate TIC interne și cibernetice implementate. Aceste teste trebuie efectuate de către personal și/sau experți externi având expertiza necesară, iar rezu ltatele testelor documentată și concluziile raportate organelor cu funcție de conducere și/sau structurii de conducere. Dacă este necesar sau dacă este cazul, instituția trebuie să identifice în urma acestor teste punctele care necesită îmbunătățiri supl imentare la nivelul procedurilor de control și al proceselor de securitate și/sau să obțină asigurarea cu privire la eficacitatea acestora.
• (c) Proceduri de control pentru gestionarea riscurilor de schimbare TIC semnificative

Autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru identificarea, înțelegerea, măsurarea și atenuarea riscului de schimbare TIC proporțional cu natura, amploarea și complexitatea activităților instituției, precum și cu profilul de risc TIC al instituției. Cadrul instituției trebuie să cuprindă riscurile asociate dezvoltării, testării și aprobării schimbărilor produse la nivelul sistemelor TIC, inclusiv cele asociate dezvoltării sau schimbării software - ului, înainte ca acestea să fie transmise către mediul de producție și să asigure o gestionare adecvată a ciclului de viață TIC. În scopul acestei evaluări, autoritățile competente trebuie să aibă în vedere, în mod specific, dacă în respectivul cadru sunt prevăzute următoarele:

• a. procese documentate pe ntru gestionarea și controlarea schimbărilor aduse sistemelor (de exemplu, configurare și gestionarea patch - ului) și datelor TIC (de exemplu, rezolvarea erorilor de tip bug sau corecțiile de date), asigurarea implicării adecvate a gestionării riscurilor TI C în cazul schimbărilor TIC importante care ar putea avea un impact semnificativ asupra profilului de risc și a expunerii instituției;
• b. specificații privind separarea impusă a sarcinilor în diferitele etape ale proceselor de schimbare TIC implementate (de exemplu, proiectarea și dezvoltarea de soluții, testarea și aprobarea de software nou și/sau schimbări, migrarea și implementarea în mediul de producție și rezolvarea erorilor de tip bug), cu axare pe soluțiile implementate și separarea sarcinilor pentru gestionarea și controlarea schimbărilor aduse sistemelor și datelor TIC de producție de către personalul TIC (de exemplu, dezvoltatori, administratori de sistem TIC, administratori de baze de date) sau orice altă parte (de exemplu, utilizatori economici, furnizori de date);
• c. medii de testare care reflectă în mod corespunzător medii de producție;
• d. un inventar al activelor care să cuprindă aplicațiile și sistemele TIC existente în mediul de producție, precum și în mediul de testare și dezvoltare, pentru ca schimbările necesare (de exemplu, actualizări sau îmbunătățiri ale versiunilor, aplicarea de coduri patch în sisteme, schimbări de configurații) să fie gestionate, implementate și monitorizate în mod corespunzător în cazul sistemelor TIC în cauză;
• e. un proces pen tru monitorizarea și gestionarea ciclului de viață al sistemelor TIC utilizate pentru a asigura faptul că acestea respectă și susțin în continuare cerințele efective de gestionare a activității și a riscurilor și pentru a obține certitudinea că soluțiile și sistemele TIC utilizate sunt susținute în continuare de către furnizorii acestora; și că acesta este însoțit de proceduri adecvate pentru ciclul de viață al procesului de dezvoltare a software - ului (SDLC);
• f. un sistem de verificare a codului sursă al softw are- ului și proceduri adecvate de prevenire a schimbărilor neautorizate asupra codului sursă al software - ului elaborat la nivel intern;
• g. un proces pentru realizarea unei verificări de securitate și vulnerabilitate asupra sistemelor TIC și programelor softwa re noi sau modificate semnificativ înainte de a le lansa în producție și a le expune unor posibile atacuri cibernetice;
• h. un proces și soluții pentru prevenirea divulgării neautorizate sau neintenționate a datelor confidențiale la înlocuirea, arhivarea, eliminarea sau distrugerea sistemelor TIC;
• i. un proces independent de analiză și validare pentru reducerea riscurilor de eroare umană atunci când se aduc schimbări la nivelul sistemelor TIC, care ar putea avea un efect negativ important asupra disponibilității, continuității sau securității instituției (de exemplu, schimbări importante aduse configurației firewall), sau la nivelul securității instituției (de exemplu, schimbări aduse aplicațiilor de tip firewall).
• (d) Proceduri de control pentru gestionarea riscurilor de integritate a datelor TIC semnificative

Autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru identificarea, înțelegerea, măsurarea și atenuarea riscului de integritate a datelor TIC proporțional cu natura, amploarea și complexitatea activităților instituției, precum și cu profilul de risc TIC al instituției. Cadrul instituției trebuie să aibă în vedere riscurile asociate păstrării integrității datelor stocate în și prelucrate prin sistemele TIC. În scopul a cestei evaluări, autoritățile competente trebuie să aibă în vedere, în mod specific, dacă în respectivul cadru sunt prevăzute următoarele:

• a. o politică ce definește rolurile și responsabilitățile de gestionare a integrității datelor din sistemele TIC (de exemplu, arhitectul de date, responsabili de date⁶ , custozi de date⁷ , posesori/supraveghetori de date⁸ ) și care oferă îndrumări cu privire la datele care sunt esențiale din perspectiva integrității datelor și care trebuie supuse unor proceduri de control TIC specifice (de exemplu, proceduri automatizate de control pentru validarea datelor introduse, proceduri de control al transferului de date, reconcilieri etc.) sau analize (de exemplu, o verificare a compatibilității cu arhitectura datelor) în diferitele faze ale ciclului de viață al datelor TIC;
• b. o arhitectură documentată a datelor, un model și/sau dicționar de date, care se validează de către societate și părțile interesate informatice relevante pentru a susține consecvența necesară a datelor între sistemele TIC și pentru a asigura faptul că arhitectura datelor, modelul și/sau dicționarul de date rămân în concordanță cu cerințele economice și de gestionare a riscurilor;
• c. o politică privind utilizarea admisă și recurgerea la sisteme informatice pentru utilizatori finali, în special în ceea ce privește identificarea, înregistrarea și documentarea de soluții informatice importante pentru utilizatori finali (de exemplu, atunci când se prelucrează date importante) și nivelurile de securitate preconizate pentru a preveni modificări neautorizate, atât la nivelul instrumentului în sine, cât și la nivelul datelor stocate în acesta;

6 Un r esponsabil de date răspunde de prelucrarea și utilizarea datelor. 7 Un custode de date răspunde de custodia, transportul și stocarea datelor în condiții de siguranță. 8 Un supraveghetor de date răspunde de gestionarea și caracterul adecvat al elementelor d atelor - conținut și metadate.

• d. procese de abordare a excepțiilor documentate pentru rezolvarea problemelor de integr itate a datelor TIC identificate în funcție de importanța și sensibilitatea acestora.

În cazul instituțiilor supravegheate, care sunt vizate de principiile BCBS 239 pentru agregarea eficace a datelor privind riscurile și raportarea riscurilor⁹ , autoritățile competente trebuie să verifice analiza riscurilor efectuată de către instituție asupra capacităților sale de raportare a riscurilor și de agregare a datelor în raport cu principiile și documentația elaborată cu privire la acestea, ținând cont de durata d e implementare și de dispozițiile tranzitorii din cadrul acestor principii.

• (e) Proceduri de control pentru gestionarea riscurilor de externalizare TIC semnificative

Autoritățile competente trebuie să evalueze dacă strategia de externalizare a instituției, ca re este în conformitate cu cerințele Ghidului CEBS privind externalizarea (2006), în urma cerinței de la punctul 85 litera (d) din Ghidul SREP al ABE, se aplică în mod corespunzător în cazul externalizării TIC, inclusiv în cazul externalizării intragrup care furnizează servicii TIC în cadrul grupului. Atunci când evaluează riscurile de externalizare TIC, autoritățile competente trebuie să ia în considerare faptul că riscurile de externalizate TIC pot fi acoperite și în cadrul evaluării riscurilor operaționa le inerente de la punctul 240 litera (j) din Ghidul SREP al ABE pentru a evita orice duplicare a activității sau numărarea dublă.

În mod specific, autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru identificare a, înțelegerea și măsurarea riscului de externalizare TIC și, în mod specific, proceduri de control și un mediu de control pentru atenuarea riscurilor asociate serviciilor TIC semnificative externalizate, care sunt proporționale cu dimensiunea, activitățile și profilul de risc TIC al instituției și care includ:

• a. o evaluare a impactului externalizării TIC asupra gestionării riscurilor de către instituție în legătură cu utilizarea furnizorilor de servicii (de exemplu, furnizori de servicii cloud) și a servici ilor acestora în cadrul procesului de achiziții care este documentat și luat în considerare de către organele cu funcție de conducere sau structura de conducere pentru decizia de a externaliza serviciile sau nu. Instituția trebuie să analizeze politicile de gestionare a riscurilor TIC, precum și procedurile de control și mediul de control TIC ale furnizorului de servicii, pentru a verifica dacă acesta îndeplinește obiectivele de gestionare internă a riscurilor și apetitul la risc la nivelul instituției. A ceastă analiză trebuie actualizată periodic în perioada de externalizare contractuală, ținând cont de caracteristicile serviciilor externalizate;
• b. o monitorizare a riscurilor TIC asociate serviciilor externalizate în perioada de externalizare contractuală în cadrul acțiunii de gestionare a riscurilor instituției, care stă la baza raportării privind gestionarea riscului TIC a instituției (de exemplu, raportarea privind continuitatea activității, raportarea privind securitatea);

9 Comitetul de la Basel pentru supraveghere bancară, Principles for effective risk data aggregation and risk reporting (Principii pentru agregarea eficace a datelor privind riscurile și raportarea riscurilor), ianuarie 2013, disponibile online: http://www.bis.org/publ/bcbs239.pdf.

• c. o monitorizare și o comparați e a nivelurilor serviciilor primite cu nivelurile serviciilor convenite prin contract, care trebuie să constituie parte integrantă din contractul de externalizare sau acordul privind nivelul serviciilor (SLA); și
• d. personal, resurse și competențe adecvate pentru monitorizarea și gestionarea riscurilor TIC generate de serviciile externalizate.