3.3 Posudzovanie kontrol na zmiernenie významných rizík súvisiacich s IKT

Na posúdenie expozície inštitúcie reziduálnemu riziku súvisiacemu s IKT by príslušné orgány mali pr eskúmať spôsob, akým inštitúcia identifikuje, monitoruje, posudzuje a zmierňuje významné riziká zistené príslušnými orgánmi pri spomínanom posudzovaní.

Príslušné orgány by na tento účel v prípade zistených významných rizík súvisiacich s IKT mali preskúmať platné:

• a. politiky a procesy riadenia rizík súvisiacich s IKT a prahové hodnoty tolerancie rizika;
• b. rámec organizačného riadenia a dohľadu;
• c. rozsah a zistenia vnútorného auditu; a
• d. kontroly rizík súvisiacich s IKT, ktoré sú vlastné pre zistené významné rizik o súvisiace s IKT.

V posúdení by sa mal zohľadniť výsledok analýzy celkového rámca riadenia rizík a vnútornej kontroly, ako sa uvádza v hlave 5 usmernení EBA o postupe SREP, ako aj riadenie a stratégia inštitúcie, ktorými sa zaoberá hlava 2 týchto usmernení, keďže závažné nedostatky zistené v týchto oblastiach môžu ovplyvniť schopnosť inštitúcie zvládnuť a zmierniť jej expozície rizikám súvisiacim s IKT. V náležitých prípadoch by príslušné orgány mali využiť aj zdroje informácií uvedené v bode 37 týchto usmernení.

Príslušné orgány by tieto kroky posudzovania mali vykonať spôsobom, ktorý bude primeraný povahe, rozsahu a zložitosti činností inštitúcie, a uplatnením preskúmania orgánmi dohľadu, ktoré je vhodné pre profil inštitúcie z hľadiska rizika súvisiaceho s IKT.

3.3.1 Politika a procesy riadenia rizík súvisiacich s IKT a prahové hodnoty tolerancie rizika

Príslušné orgány by mali preskúmať, či inštitúcia má vhodné politiky a procesy riadenia rizík a prahové hodnoty tolerancie rizika pre zistené významné riziká sú visiace s IKT. Môžu byť súčasťou rámca riadenia operačného rizika alebo môže ísť o samostatný dokument. Príslušné orgány by na účely tohto posúdenia mali zohľadniť:

• a. či politika riadenia rizík bola potvrdená a schválená riadiacim orgánom a či obsahuje dostatočné usmernenia rizikový apetít inštitúcie súvisiaci IKT a pre hlavné sledované ciele riadenia rizík súvisiacich s IKT a/alebo použité prahové hodnoty tolerancie rizika súvisiaceho s IKT. Príslušná politika riadenia rizík súvisiacich s IKT by sa takisto mala oznámiť všetkým dotknutým zainteresovaným stranám;
• b. či sa platná politika pokrýva všetky významné prvky riadenia rizík v rámci zistených významných rizík súvisiacich s IKT;
• c. či inštitúcia implementovala proces a súvisiace postupy na identifikáciu (napr. vlastné hodnotenia rizík a kontrol, analýzu rizikového scenára) a monitorovanie príslušných významných rizík súvisiacich s IKT; a
• d. či inštitúcia zaviedla postupy monitoringu a rizík súvisiacich s IKT, ktorý poskytuje včas informácie pre vrcholový manažment a riadiaci orgán a ktorý vrcholovému manažmentu a/alebo riadiacemu orgánu umožňuje posúdiť a monitorovať, či sú plány a opatrenia inštitúcie na zmiernenie rizika súvisiaceho s IKT v súlade so schváleným rizikovým apetítom a/alebo toleranciou rizika (v prípade potreby), a monitoruje zmeny významných rizík súvisiacich s IKT.

3.3.2 Rámec organizačného riadenia a dohľadu

Príslušné orgány by mali posúdiť, akým spôsobom sú uplatniteľné úlohy a zodpovednosti riadenia rizík zakotvené a začlenené do vnútornej organizácie na riadenie zistených významných rizík súvisiacich s IKT a dohľad nad nimi. V tejto súvislosti by príslušné orgány mali posúdiť, či inštitúcia vykazuje:

• a. jasné úlohy a povinnosti týkajúce sa identifikácie, posudzovania, monitorovania, zmierňovania príslušných významných rizík súvisiacich s IKT, podávania správ o nich a dohľadu nad nimi;
• b. že povinnosti a úlohy týkajúce sa rizika sú jasne oznamované, rozdeľované a začleňované vo všetkých príslušných častiach (napr. obchodné línie, IT) a procesoch organizácie vrátane úloh a povinností týkajúcich sa získavania a zhromažďovania informácií o riziku a podávania správ o týchto informáciách vrcholovému manažmentu a/alebo riadiacemu orgánu;
• c. že činnosti spojené s riadením rizík súvisiacich s IKT sa vykonávajú s dostatočnými a kvalitatívne primeranými ľudskými a technickými zdrojmi. Príslušné orgány by na účely posúdenia dôveryhodnosti platných plánov na zmiernenie rizika mali posúdiť aj to, či inštitúcia pridelila dostatočný finančný rozpočet a/alebo iné požadované zdroje na ich realizáciu;
• d. primeranú následnú kontrolu a reakciu riadiaceho orgánu v súvislosti s dôležitými zisteniami pochádzajúcimi z nezávislých kontrolných funkcií, pokiaľ ide o riziká súvisiace s IKT, pričom sa zohľadňuje možnosť delegovania určitých aspektov na výbor, ak tento výbor existuje; a
• e. že výnimky z platných predpisov a politík týkajúcich sa IKT sa zaznamenajú a nezávislá kontrolná funkcia vypracuje zdokumentované stanovisko a podá o nich správu so zameraním na súvisiace riziká. 3.3.3 Rozsah a zistenia vnútorného auditu

Príslušné orgány by mali posúdiť, či je funkcia vnútorného auditu efektívna vzhľadom na vykonávanie auditu platného rámca kontroly rizík súvisiacich s IKT, a to tak, že preskúmajú:

• a. či sa audity rámca kontroly rizík súvisiacich s IKT vykonávajú v požadovanej kvalite, hĺbke a frekvencii a či sú úmerné veľkosti, činnostiam a profilu inštitúcie z hľadiska rizika súvisiaceho s IKT;
• b. či súčasťou plánu auditu sú audity zamerané na kritické riziká súvisiace s IKT identifikované inštitúciou;
• c. či sa dôležité zistenia auditu v oblasti IKT vrátane dohodnutých opatrení vykazujú riadiacemu orgánu; a
• d. či zistenia auditu v oblasti IKT vrátane dohodnutých nápravných opatrení kontrolujú po skončení auditu a či vrcholový manažment a/alebo výbor pre audit pravidelne preskúmavajú správy o nápravných opatreniach.

3.3.4 Kontroly rizík súvisiacich s IKT, ktoré sú vlastné pre identifikované významné riziká súvisiace s IKT

Príslušné orgány by v prípade identifikovaných významných rizík súvisiacich s IKT m ali posúdiť, či inštitúcia zaviedla konkrétne kontroly na riešenie týchto rizík. V nasledujúcich oddieloch sa uvádza neúplný zoznam konkrétnych kontrol, ktoré sa majú zohľadniť pri posudzovaní významných rizík zistených v oddiele 3.2.2, ktoré boli priradené k týmto kategóriám rizík súvisiacich s IKT:

• a. riziká súvisiace s dostupnosťou a kontinuitou IKT;
• b. riziká súvisiace s bezpečnosťou IKT;
• c. riziká súvisiace so zmenou IKT;
• d. riziká súvisiace s integritou IKT údajov;
• e. riziká súvisiace s outsourcingom IKT služieb.
• (a) Kontroly na riadenie významných rizík súvisiacich s dostupnosťou a kontinuitou IKT

Okrem požiadaviek v usmerneniach EBA o postupe SREP (body 279 – 281) by príslušné orgány mali posúdiť, či má inštitúcia vhodný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich s dostupnosťou a kontinuitou IKT a na porozumenie týmto rizikám.

Príslušné orgány by na účely tohto posúdenia mali konkrétne zohľadniť, či tento rámec:

• a. identifikuje kritické procesy týkajúce sa IKT a príslušné podporné IKT systémy, ktoré by mali byť súčasťou plánov na zabezpečenie odolnosti a kontinuity činností pomocou:
• i. komplexnej analýzy závislostí medzi kritickými podnikateľskými postupmi a podpornými systémami;
• ii. určenia cieľov obnovy pre podporné IKT systémy (napr. za normálnych okolností určených podnikom a/alebo na základe právnych predpisov z hľadiska časových cieľov obnovy a cieľov bodov obnovy);
• iii. vhodného pohotovostného plánovania s cieľom umožniť dostupnosť, kontinuitu a obnovenie kritických IKT systémov a služieb na minimalizáciu narušenia operácií inštitúcie v rámci prijateľných obmedzení;
• b. má politiky a štandardy týkajúce sa kontrolného prostredia pre odolnosť a kontinuitu činností a operatívne kontroly, ktoré zahŕňajú:
• i. opatrenia, ktorých účelom je zabrániť tomu, aby jeden scenár, udalosť alebo katastrofa mohli ovplyvniť systémy produkcie a obnovenia IKT;
• ii. postupy zálohovania a obnovenia IKT systému týkajúce sa kritického softvéru a dát, prostredníctvom ktorých sa zabezpečí, aby sa tieto zálohy archivovali na bezpečnom a dostatočne vzdialenom mieste, aby v prípade nehody alebo katastrofy nedošlo k zničeniu alebo poškodeniu týchto kritických dát;
• iii. riešenia v oblasti monitorovania na včasné odhalenie udalostí súvisiacich s dostupnosťou a kontinuitou IKT;
• iv. zdokumentovaný postup riadenia a eskalácie udalosti, ktorý obsahuje aj usmernenie o rôznych úlohách a povinnostiach súvisiacich s riadením a eskaláciou udalosti, o členoch krízových výborov a hierarchii velenia v prípade núdze;
• v. fyzikálne opatrenia na ochranu kritickej IKT infraštruktúry inštitúcie (napr. dátové strediská) pred environmentálnymi rizikami (napr. povodne a iné prírodné katastrofy), ako aj na zabezpečenie vhodného prevádzkového prostredia pre IKT systémy (napr. klimatizácia);
• vi. postupy, úlohy a povinnosti na zabezpečenie, aby sa aj na IKT systémy a služby outsourcované externým poskytovateľom vzťahovali primerané riešenia a plány na zabezpečenie odolnosti a kontinuity;
• vii. riešenia v oblasti plánovania výkonnosti a kapacity IKT a v oblasti monitorovania pre kritické IKT systémy a služby so stanovenými požiadavkami na dostupnosť, aby bolo možné včas odhaliť závažné obmedzenia týkajúce sa výkonnosti a kapacity;
• viii. v prípade nevyhnutnosti a potreby riešenia na ochranu kritických internetových činností alebo služieb (napr. služby elektronického bankovníctva) proti odmietnutiu služby a ďalším kybernetickým útokom z internetu, ktoré sú zamerané na zabránenie alebo narušenie prístupu k týmto činnostiam a službám;
• c. testuje riešenia týkajúce sa dostupnosti a kontinuity IKT v porovnaní s množstvom realistických scenárov vrátane kybernetických útokov, testov prechodu a zá loh kritického softvéru a dát:
• i. ktoré sú plánované, potvrdené a zdokumentované, a výsledky testov sa používajú na posilnenie účinnosti riešení súvisiacich s dostupnosťou a kontinuitou IKT;
• ii. ktoré zahŕňajú zainteresované strany a funkcie v rámci organizácii, ako je manažment obchodnej línie vrátane skupín pre kontinuitu činností, udalosti a reakciu na krízu, ako aj príslušné externé zainteresované strany v ekosystéme;
• iii. v rámci ktorých riadiaci orgán a vrcholový manažment sú primerane zapojené (napr. ako súčasť skupín na krízové riadenie) a v rámci ktorých dostávajú informácie o výsledkoch testov.
• (b) Kontroly na riadenie významných rizík súvisiacich s bezpečnosťou IKT

Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich s bezpečnosťou IKT a na porozumenie týmto rizikám. Príslušné orgány by na účely tohto hodnotenia mali konkrétne posúdiť, či sa v tomto rámci zohľadňujú:

• a. jasne vymedzené úlohy a povinnosti týkajúce sa:
• i. osôb a/alebo výborov, ktoré nesú zodpovednosť za každodenné riadenie bezpečnosti IKT a za vypracovanie spoločných politík bezpečnosti IKT, pričom je pozornosť zameraná na ich potrebnú nezávislosť;
• ii. návrhu, vykonávania, riadenia a monitorovania kontrol bezpečnosti IKT;
• iii. ochrany kritických IKT systémov a služieb napríklad prostredníctvom postupov posúdenia zraniteľnosti, správy softvérových opráv, ochrany koncového používateľa (napr. malvérový vírus), nástrojov na odhaľovanie neoprávnených vniknutí a ich zabraňovanie;
• iv. monitorovania, klasi fikácie a spracovania vonkajších alebo vnútorných udalostí súvisiacich s bezpečnosťou IKT; vrátane reakcie na udalosť a kontinuity a obnovy IKT systémov a služieb;
• v. pravidelného a proaktívneho posudzovania hrozieb na zachovanie primeraných kontrol bezpečnosti;
• b. politika bezpečnosti IKT, v ktorej sa zohľadňujú a v prípade potreby dodržiavajú medzinárodne uznávané normy bezpečnosti IKT a zásady bezpečnosti (napr. tzv. zásada najnižších práv, t. j. obmedzenie prístupu na minimálnu úroveň, ktorá umožní normálne fungovanie správy prístupových práv, a zásada tzv. ochrany do hĺbky, t. j. vrstvené bezpečnostné mechanizmy na zvýšenie bezpečnosti systému ako celku pre vytvorenie bezpečnostnej architektúry);
• c. postupy na identifikáciu IKT systémov, služieb a primeraných bezpečnostných požiadaviek, v ktorých sa odzrkadľuje možné riziko podvodu a/alebo prípadné nesprávne použitie a/alebo zneužitie dôverných údajov popri zdokumentovaných bezpečnostných očakávaniach, ktoré sa majú v prípade týchto zistených IKT systémov, služieb a údajov dodržiavať, zosúladiť s toleranciou rizika inštitúcie a monitorovať v súvislosti s ich správnym vykonávaním;
• d. zdokumentovaný postup riadenia a eskalácie bezpečnostnej udalosti, ktorý obsahuje aj usmernenie
• o rôznych úlohách a povinnostiach súvis iacich s riadením a eskaláciou udalosti, o členoch krízových výborov a hierarchii velenia v prípade bezpečnostnej pohotovosti;
• e. zaznamenávanie činnosti používateľom a administrátorom s cieľom umožniť efektívne monitorovanie a včasné odhalenie neoprávnenej činnosti a reakciu na túto činnosť; s cieľom pomôcť pri vykonávaní forenzného vyšetrovania bezpečnostných udalostí. Inštitúcia by mala mať politiky zaznamenávania, v ktorých sa vymedzujú vhodné druhy denníkov, ktoré sa majú viesť, a obdobie ich uchovávania;
• f. osvetové a informačné kampane alebo iniciatívy na informovanie všetkých úrovní v inštitúcii
• o bezpečnom používaní a ochrane IKT systémov inštitúcie a hlavné riziká súvisiace s bezpečnosťou IKT (a iné riziká), o ktorých by mali byť informované, najmä pokiaľ ide o existujúce a vyvíjajúce sa počítačové hrozby (napr. počítačové vírusy, možné vnútorné alebo vonkajšie zneužitia alebo útoky, kybernetické útoky), a ich úlohu pri zmierňovaní narušenia bezpečnosti;
• g. primerané fyzické bezpečnostné opatrenia (napr. kamerový systém, poplašný systém proti vlámaniu, bezpečnostné dvere) na zabránenie neoprávnenému fyzickému prístupu ku kritickým a citlivým IKT systémom (napr. k dátovým strediskám);
• h. opatrenia na ochranu IKT systémov pred útokmi z internetu (t. j. pred kybernetickými útokmi) alebo z iných vonkajších sietí (napr. tradičné telekomunikačné prepojenia alebo prepojenia s dôveryhodnými partnermi). Príslušné orgány by mali preskúmať, či rámec inštitúcie zohľadňuje:
• i. proces a riešenia na zachovanie úplného a aktuálneh o zoznamu a prehľadu všetkých miest pripojenia k sieti smerujúcich z organizácie (napr. webové sídla, internetové aplikácie, WIFI, vzdialený prístup), prostredníctvom ktorých by tretie strany mohli preniknúť do interných IKT systémov;
• ii. úzko riadené a monitorované bezpečnostné opatrenia (napr. firewally, proxy servery, prenosy poštových správ, antivírusové programy a prehliadače obsahu) na zabezpečenie prichádzajúcej a odchádzajúcej sieťovej prevádzky (napr. elektronická pošta) a sieťových pripojení smerujúcich von, prostredníctvom ktorých by tretie strany mohli preniknúť do interných IKT systémov;
• iii. postupy a riešenia na zabezpečenie webových sídel a aplikácií, na ktoré môže byť podniknutý priamy útok z internetu a/alebo zvonku a ktoré môžu poslúžiť ako miesto vstupu do interných IKT systémov. Vo všeobecnosti medzi tieto postupy a riešenia patrí kombinácia uznávaných bezpečných vývojových postupov, spevnenia IKT systému a postupov na pozorné vyhľadávanie zraniteľností a/alebo vykonávanie doplňujúcich bezpečnostných riešení, ako napríklad použitie firewallov a/alebo systémov na odhaľovanie neoprávnených prienikov a/alebo na zabránenie týmto prienikom;
• iv. pravidelné bezpečnostné penetračné testy na posúdenie účinnosti realizovaných počítačových a interných opatrení a postupov v oblasti bezpečnosti IKT. Tieto testy by mali vykonávať zamestnanci a/alebo externí experti s potrebnými odbornými znalosťami a zdokumentované výsledky a závery testov by sa mali oznámiť vrcholovému manažmentu a/alebo riadiacemu orgánu. V prípade potreby by sa inštitúcia mala z týchto testov poučiť, kde by mohla ešte zlepšiť bezpečnostné kontroly a postupy a/alebo získať lepšiu istota o ich účinnosti.
• (c) Kontroly na riadenie významných rizík súvisiacich so zmenou IKT

Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich so zmenou IKT a na porozumenie týmto rizikám, ktoré sú úmerné povahe, rozsahu a zložitosti činností inštitúcie a jej profilu z hľadiska rizika súvisiaceho s IKT. Ráme c inštitúcie by sa mal vzťahovať na riziká spojené s vývojom, testovaním a schvaľovaním zmien IKT systémov vrátane vývoja alebo zmeny softvéru predtým, než sa prenesie do produkčného prostredia, a mal by zabezpečovať primerané riadenie životného cyklu IKT. Príslušné orgány by na účely tohto posúdenia mali konkrétne posúdiť, či sa v tomto rámci zohľadňujú:

• a. zdokumentované procesy na riadenie a kontrolu zmien IKT systémov (napr. konfigurácia a správa opráv) a dát (napr. oprava chýb alebo opravy dát), pričom sa zabezpečuje primerané zapojenie riadenia rizík súvisiacich s IKT do dôležitých zmien IKT, ktoré môžu významne postihnúť rizikový profil alebo expozíciu inštitúcie;
• b. špecifikácie týkajúce sa požadovaného oddelenia funkcií počas rôznych fáz vykonávaných postupov zmien IKT (napr. návrh a vývoj riešenia, testovanie a schválenie nového softvéru a/alebo zmeny, presun a vykonávanie v rámci produkčného prostredia a oprava chýb) so zameraním na vykonávané riešenia a oddelenie funkcií riadenia a kontroly zmien výroby IKT systémov a dát zamestnancami IKT (napr. programátori, správcovia IKT systému, správcovia databáz) alebo inou stranou (napr. obchodní používatelia, poskytovatelia služieb);
• c. testovacie prostredia, ktoré primerane odzrkadľujú produkčné prostredia;
• d. zoz nam aktív existujúcich aplikácií a IKT systémov vo produkčnom prostredí, ako aj v skúšobnom a vývojovom prostredí, aby sa požadované zmeny (napr. aktualizácie alebo modernizácie verzií, opravy systémov, zmeny konfigurácie) mohli v prípade dotknutých IKT systémov riadne spravovať, realizovať a monitorovať;
• e. proces na monitorovanie a riadenie životného cyklu použitých IKT systémov, na zabezpečenie, aby naďalej spĺňali a podporovali aktuálne hospodárske požiadavky a požiadavky riadenia rizík, a na zabezpečenie, že použité IKT riešenia a systémy ich predajcovia stále podporujú; a že tento proces dopĺňajú primerané postupy životného cyklu vývoja softvéru;
• f. kontrolný systém zdrojového kódu softvéru a vhodné postupy na zabránenie neoprávneným zmenám v zdrojovom kóde softvéru, ktorý sa vyvíja interne;
• g. proces na vykonanie bezpečnostného vyšetrovania a overenia zraniteľnosti nových alebo významne upravených IKT systémov a softvéru pred ich uvedením do výroby a pred ich vystavením možným kybernetickým útokom;
• h. proces a rie šenia na zabránenie neoprávneného alebo neúmyselného zverejnenia dôverných údajov pri výmene, archivácii, vyraďovaní alebo likvidácii IKT systémov;
• i. postupy nezávislého preskúmania a potvrdenia na zníženie rizík ľudských chýb pri vykonávaní zmien IKT systémov, ktoré môžu mať závažný nežiaduci účinok na dostupnosť, kontinuitu alebo bezpečnosť inštitúcie (napr. významné zmeny v konfigurácii firewallu) alebo na bezpečnosť inštitúcie (napr. zmeny firewallu).
• (d) Kontroly na riadenie významných rizík súvisiacich s in tegritou IKT údajov

Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich s integritou IKT údajov a na porozumenie týmto rizikám, ktoré sú úmerné povahe, rozsahu a zložitosti činností inštitúcie a jej profilu z hľadiska rizika súvisiaceho s IKT. Rámec inštitúcie by mal zohľadňovať riziká spojené so zachovaním integrity údajov uložených a spracúvaných IKT systémami. Príslušné orgány by na účely tohto posúdenia mali konkrétne posúdiť, či sa v tomto rámci zohľadňujú:

• a. politika, ktorou sa vymedzujú úlohy a povinnosti na riadenie integrity údajov v IKT systémoch (napr. dátový architekt, dátoví referenti⁶ , opatrovníci dát⁷ , vlastníci/správcovia dát⁸ ) a ktorá poskytuje usmernenia o tom, ktoré údaje sú kľúčové z hľadiska integrity údajov a mali by podliehať osobitným kontrolám IKT (napr. automatizované kontroly vstupných parametrov, kontroly prenosu údajov, zosúlaďovanie atď.) alebo preskúmaniam (napr. kontrola kompatibility s dátovou architektúrou) v rôznych fázach životného cyklu údajov IKT;
• b. zdokumentovaná dátová architektúra, dátový model a/alebo slovník, ktoré potvrdzujú príslušné obchodné zainteresované strany a zainteresované strany v oblasti IT na účely podpory potrebnej súdržnosti údajov vo všetkých IKT systémoch a na uistenie sa, že dátová architektúra, dátový model a/alebo slovník ostanú v súlade s potrebami v oblasti obchodovania a riadenia rizík;
• c. politika týkajúca sa povoleného použitia spracovania údajov koncového používateľa, najmä pokiaľ ide o identifikáciu, registráciu a zdokumentovanie významných riešení spracovania údajov koncového používateľa (napr. pri spracovaní dôležitých údajov), a predpokladaných úrovní bezpečnosti na zabránenie neoprávneným úpravám samotného nástroja, ako aj údaj ov v ňom uložených;
• d. zdokumentované postupy spracovania výnimiek na riešenie zistených problémov týkajúcich sa integrity IKT údajov v súlade s ich kritickosťou a citlivosťou.

⁶ Dátový referent zodpovedá za spracovanie a použitie údajov.

⁷ Opatrovník dát zodpovedá za bezpečnú úschovu, prepravu a uloženie údajov.

⁸ Správca dát zodpovedá za riadenie a vhodnosť dátových prvkov – obsahu, ako aj metaúdajov.

V prípade inštitúcií podliehajúcich dohľadu, ktoré patria do rozsahu pôsobnosti z ásad BCBS 239 pre účinné zhromažďovanie údajov o rizikách a podávanie správ o riziku⁹ , by príslušné orgány mali preskúmať analýzu rizík inštitúcie týkajúcu sa jej podávania správ o rizikách a schopností zhromažďovať údaje v porovnaní s týmito zásadami a s vypracovanou dokumentáciou na túto tému, pričom zohľadnia implementačný harmonogram a prechodné opatrenia v týchto zásadách.

• (e) Kontroly na riadenie významných rizík súvisiacich s outsourcingom /externým zabezpečovaním IKT služieb

⁹ Bazilejský výbor pre bankový dohľad, Zásady pre účinné zhromažďovanie údajov o rizikách a podávanie správ o rizikách, január 2013, k dispozícii on - line: http://www.bis.org/publ/bcbs239.pdf.

Príslušné orgány by mali posúdiť, či stratégia inštitúcie v oblasti outsourcingu v súlade s požiadavkami usmernení Výboru európskych orgánov bankového dohľadu o outsourcingu (2006), ako aj s požiadavkami v bode 85 písm. d) usmernení EBA o postupe SREP, bola primerane uplatnená v prípade outsourcingu IKT služieb vrátane outsourcingu IKT služieb v rámci finančnej skupiny. Pri posudzovaní rizík súvisiacich s outsourcingom IKT služieb by príslušné orgány mali zohľadniť skutočnosť, že tieto riziká sa môžu posudzovať aj v rámci hodnotenia vlastných operačných rizík podľa bodu 240 písm. j) usmernení EBA o postupe SREP, aby sa zabránilo duplicite práce alebo dvojitému započítaniu.

Príslušné orgány by konkrétne mali posúdiť, či inštitúcia má účinný rámec na identif ikáciu a meranie rizík súvisiacich s outsourcingom IKT služieb a na porozumenie týmto rizikám, a konkrétne či má kontroly a kontrolné prostredie na zmierňovanie rizík spojených s významnými IKT službami zabezpečovanými externe, ktoré sú úmerné povahe, rozs ahu a zložitosti činností inštitúcie a jej profilu z hľadiska rizika súvisiaceho s IKT a ktoré zahŕňajú:

• a. posúdenie vplyvu outsourovaných IKT služieb na riadenie rizík inštitúcie spojeného s využívaním poskytovateľov služieb (napr. poskytovateľov cloudových služieb) a ich služieb počas obstarávania, ktoré sa zdokumentuje a ktoré vrcholový manažment alebo riadiaci orgán zohľadní v rozhodnutí, či sa služby zadajú externe. Inštitúcia by mala preskúmať politiky riadenia rizík súvisiacich s IKT a kontroly IKT a kontrolné prostredie poskytovateľa služieb s cieľom zabezpečiť, aby napĺňali interné ciele inštitúcie v oblasti riadenia rizík a jej ochotu podstupovať riziká. Toto preskúmanie by sa malo pravidelne aktualizovať v priebehu zmluvného využívania outsourcovaných služieb, pričom sa zohľadnia charakteristické vlastnosti outsourcovaných služieb;
• b. monitorovanie rizík outsourcovaných služieb súvisiacich s IKT v priebehu zmluvného využívania outsourcovanýchslužieb v rámci riadenia rizík inštitúcie, ktoré poslúži ako vstup pre reporting
• o riadení rizík súvisiacich s IKT (napr. reporting o kontinuite činností, reporting o bezpečnosti);
• c. monitorovanie a porovnanie úrovní prijatých služieb so zmluvne dohodnutými úrovňami služieb, ktoré by mali tvoriť súčasť zmluvy o o utsourcingu alebo dohody o úrovni poskytovaných služieb (SLA); a
• d. vhodných zamestnancov, zdroje a schopnosti na monitorovanie a riadenie rizík súvisiacich s IKT vyplývajúcich zo služieb zabezpečovaných externe.