60. În mod specific, autoritățile competente trebuie să evalueze dacă instituția a stabilit un …

În mod specific, autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru identificare a, înțelegerea și măsurarea riscului de externalizare TIC și, în mod specific, proceduri de control și un mediu de control pentru atenuarea riscurilor asociate serviciilor TIC semnificative externalizate, care sunt proporționale cu dimensiunea, activitățile și profilul de risc TIC al instituției și care includ:

• a. o evaluare a impactului externalizării TIC asupra gestionării riscurilor de către instituție în legătură cu utilizarea furnizorilor de servicii (de exemplu, furnizori de servicii cloud) și a servici ilor acestora în cadrul procesului de achiziții care este documentat și luat în considerare de către organele cu funcție de conducere sau structura de conducere pentru decizia de a externaliza serviciile sau nu. Instituția trebuie să analizeze politicile de gestionare a riscurilor TIC, precum și procedurile de control și mediul de control TIC ale furnizorului de servicii, pentru a verifica dacă acesta îndeplinește obiectivele de gestionare internă a riscurilor și apetitul la risc la nivelul instituției. A ceastă analiză trebuie actualizată periodic în perioada de externalizare contractuală, ținând cont de caracteristicile serviciilor externalizate;
• b. o monitorizare a riscurilor TIC asociate serviciilor externalizate în perioada de externalizare contractuală în cadrul acțiunii de gestionare a riscurilor instituției, care stă la baza raportării privind gestionarea riscului TIC a instituției (de exemplu, raportarea privind continuitatea activității, raportarea privind securitatea);

9 Comitetul de la Basel pentru supraveghere bancară, Principles for effective risk data aggregation and risk reporting (Principii pentru agregarea eficace a datelor privind riscurile și raportarea riscurilor), ianuarie 2013, disponibile online: http://www.bis.org/publ/bcbs239.pdf.

• c. o monitorizare și o comparați e a nivelurilor serviciilor primite cu nivelurile serviciilor convenite prin contract, care trebuie să constituie parte integrantă din contractul de externalizare sau acordul privind nivelul serviciilor (SLA); și
• d. personal, resurse și competențe adecvate pentru monitorizarea și gestionarea riscurilor TIC generate de serviciile externalizate.

1. Prezentare generală

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

3. Standarde asociate

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/