3.1 Všeobecné aspekty

Príslušné orgány by mali posúdiť, či inštitúcia riadne identifikovala, posúdila a zmiernila svoje riziká súvisiace s IKT. Tento postup by mal byť súčasťou rámca riadenia operačného rizika a mal by byť zhodný s prístupom uplatňovaným na operačné riziko.

Príslušné orgány by najprv mali určiť významné inherentné riziká súvisiace s IKT, ktorým je alebo ktorým by mohla byť inštitúcia vystavená, na základe čoho by sa potom uskutočnilo posúdenie účinnosti riadenia rizík inštitúcie súvisiacich s IKT, postupov a kontrol na zmiernenie týchto rizík. Výsledok posúdenia by sa mal odzrkadliť v zhrnutí zistení, ktoré sa použije ako vstupné údaje pre skóringové hodnotenie operačného rizika podľa usmernení EBA o postupe SREP. Ak sa riziko súvisiace s IKT považuje za významné a príslušné orgány by chceli priradiť samostatné skóringové hodnotenie, potom by sa na priradenie skóringové hodnotenia ako podrizika operačného rizika mala použiť Tabuľka 1.

Pri vykonávaní posúdenia podľa tejto hlavy by príslušné orgány ako základ na určenie svojich priorít pri posudzovaní orgánmi dohľadu mali použiť všetky dostupné zdroje informácií, ako sa uvádza v bode 127 hlavy 6 usmernení EBA o postupe SREP, napr. činnosti, správy a výsledky v rámci riadenia rizík inštitúcie. Príslušné orgány by na vykonanie tohto posúdenia mali použiť aj iné zdroje informácií vrátane týchto zdrojov informácií (ak sú relevantné):

• a. posúdenie vlastného rizika a kontrol súvisiacich s IKT (ak bolo uvedené medzi informáciami z postupu ICAAP);
• b. informácie o riadení spojené s rizikom súvisiacim s IKT predložené riadiacemu orgánu inštitúcie, napr. pravidelné a na udalostiach založené podávanie správ o rizikách súvisiacich s IKT (vrátane podávani a správ do databázy operačných strát), údaje o expozícii rizikám súvisiacim s IKT z funkcie riadenia rizík inštitúcie;
• c. zistenia vnútorného a externého auditu súvisiacich s IKT, ktoré boli oznámené výboru inštitúcie pre audit.