2.4 Riziko súvisiace s IKT v rámci riadenia rizík inštitúcie

Pri posudzovaní riadenia rizík a vnútornej kontroly celej inštitúcie, ako sa stanovuje v hlave 5 usmernení EBA o postupe SREP, by príslušné orgány mali posúdiť, či rámec riadenia rizík a vnútornej kontroly inštitúcie primerane ochraňuje IKT systémy inštitúcie spôsobom, ktorý je úmerný veľkosti a činnostiam inštitúcie a jej profilu z hľadiska rizika súvisiaceho s IKT, ako sa vymedzuje v hlave 3. Konkrétne by príslušné orgány mali určiť:

• a. či sa ochota podstupovať riziká a postup hodnotenia primeranosti interného kapitálu vzťahujú na riziká súvisiace s IKT v rámci širšej kategórie operačného rizika v prípade vymedzenia celkovej stratégie riadenia rizík a určenia interného kapitálu; a
• b. či riziká súvisiace s IKT patria do rozsahu pôsobnosti rámca pre riadenie rizík a vnútornú kontrolu celej inštitúcie.

Príslušné orgány by mali vykonať posúdenie podľa písmena a) so zreteľom na očakávané a nepriaznivé scenáre, napr. na scenáre zahrnuté v stresovom testovaní špecifickom pre inštitúciu alebo v stresovom testovaní orgánmi dohľadu.

S osobitným ohľadom na písmeno b) by príslušné orgány mali posúdiť, či je nezávislá funkcia kontroly a funkcia vnútorného auditu, ako sa podrobne uvádza v bode 104 písm. a) a d) a v bode 105 písm. a) a c) usmernení EBA o postupe SREP, vhodná na zabezpečenie dostatočnej úrovne nezávislosti medzi IKT a funkciami kontroly a auditu vzhľadom na veľkosť a profil inštitúcie z hľadiska rizika súvisiaceho s IKT.