Hlava 1 – Všeobecné ustanovenia

Príslušné orgány by mali vykonávať posudzovanie rizika súvisiaceho s IKT a mechanizmov riadenia a stratégie IKT v rámci postupu pres kúmania a hodnotenia orgánmi dohľadu (ďalej len „SREP“) na základe modelu minimálnej účasti a kritérií proporcionality stanovených v hlave 2 usmernení EBA

• o postupe SREP. To konkrétne znamená, že:
• a. frekvencia posudzovanie rizika súvisiaceho s IKT bude závisieť od modelu minimálnej účasti, ktorý sa riadi podľa kategórie postupu SREP, ku ktorej bola inštitúcia priradená, a podľa konkrétneho programu previerok v oblasti dohľadu; a
• b. dôkladnosť, podrobnosť a mohutnosť posudzovania IKT majú byť primerané veľkosti, štruktúre a operačnému prostrediu inštitúcie, ako aj povahe, rozsahu a zložitosti jej činností.

Zásada proporcionality sa v celých týchto usmerneniach uplatňuje na rozsah, frekvenciu a mieru účasti orgánov dohľadu, ich dialóg s inštitúciou a očakávania v oblasti dohľadu týkajúce sa štandardov, ktoré by inštitúcia mala spĺňať.

Príslušné orgány sa môžu opierať o prácu, ktorú už inštitúcia alebo príslušný orgán vykonali v súvislosti s posudzovaním ďalších rizík alebo s prvkami postupu preskúmania a hodnotenia orgánmi dohľadu, alebo túto prácu môžu zohľadniť s cieľom získať aktualizované posúdenie. Konkrétne pri posudzovaniach stanovených v týchto usmerneniach si príslušné orgány majú vybrať najvhodnejší prístup a metodiku posúdenia orgánmi dohľadu, ktoré najviac zodpovedajú a ktoré sú primerané inštitúcii, a príslušné orgány majú na získanie informácií pre svoje posúdenie použiť existujúcu a dostupnú dokumentáciu [napr. príslušné správy a iné dokumenty, stretnutia s manažmentom (rizík), zistenia z kontrol na mieste].

Príslušné orgány majú zhrnúť zistenia svojho hodnotenia podľa kritérií uvedených v týchto usmerneniach a použiť ich na dosiahnutie záverov v rámci hodnotenia SREP, ako sa stanovuje v usmerneniach EBA o postupe SREP.

Posudzovanie riadenia a stratégie IKT vykonané v súlade s hlavou 2 týchto usmernení by konkrétne malo poskytnúť zhrnutie zistení v elemente - kontroly v rámci postupu SREP týkajúceho sa posúdenia vnútorného riadenia a kontrol rizík celej inštitúcie, ako sa uvádza v hlave 5 usmernení EBA o postupe SREP, a malo by sa odzrkadliť v príslušnom skóringovom hodnotení daného elementu v rámci SREP. Príslušné orgány by navyše mali vziať do úvahy, že z každého významného nepriaznivého vplyvu posúdenia stratégie IKT na obchodnú stratégiu inštitúcie alebo z akýchkoľvek obáv, že by inštitúcia nemusela mať dostatočné zdroje a spôsobilosti v oblasti IKT na vykonávanie a podporu dôležitých plánovaných strategických zmien, by sa mali poskytnúť informácie pre analýzu obchodného modelu podľa hlavy 4 usmernení EBA o postupe SREP.

Výsledky posudzovania rizika súvisiaceho s IKT, ako sa uvádza v hlave 3 týchto usmernení, by mali poskytnúť informácie pre zistenia z posúdenia operačného rizika a mali by sa považovať za základ pre príslušné skóringové hodnotenie, ako sa uvádza v oddiele 6.4 usmernení EBA o postupe SREP.

Treba pripomenúť, že hoci vo všeobecnosti by príslušné orgány podkategórie rizík mali posudzovať ako súčasť hlavných kategórií (t. j. riziko súvisiace s IKT sa bude posudzovať ako súčasť operačného rizika), v prípade, ak príslušné orgány považujú určité podkategórie za významné, môžu tieto podkategórie posudzovať samostatne. Na tento účel sa v týchto usmerneniach, ak by príslušný orgán označil riziko súvisiace s IKT ako významné riziko, uvádza aj tabuľka skóringového hodnotenia (Tabuľka 1), ktorá by sa mala použiť na skóringové hodnotenie samostatnej podkategórie rizika súvisiaceho s IKT na základe celkového prístupu k skóringovému hodnoteniu rizík pre kapitál v usmerneniach EBA o postup e SREP.

Na dosiahnutie stanoviska, či by sa riziko súvisiace s IKT malo považovať za významné, a teda či by mala byť možnosť toto riziko posudzovať a hodnotiť ako samostatnú podkategóriu operačného rizika, príslušné orgány môžu použiť kritériá stanovené v oddiele 6.1 usmernení EBA o postupe SREP.

Pri uplatňovaní týchto usmernení by príslušné orgány mali v náležitých prípadoch zohľadniť neúplný zoznam podkategórií a scenárov rizika súvisiaceho s IKT, ako sa uvádzajú v prílohe, pričom treba pripomenúť, že príloha je zameraná na riziká súvisiace s IKT, ktoré môžu viesť k veľmi vážnym stratám. Príslušné orgány môžu niektoré riziká súvisiace s IKT uvedených v taxonómii vylúčiť, ak nesúvisia s ich posudzovaním. Inštitúcie by mali udržiavať vlastné taxonómie rizík namiesto používania taxonómie rizík súvisiacich s IKT stanovenými v prílohe.

Ak sa tieto usmernenia uplatňujú v súvislosti s cezhraničnými bankovými skupinami a ich subjektmi a ak bolo zriadené kolégium orgánov dohľadu, zapojené príslušné orgány majú v kon texte svojej spolupráce na posúdení SREP v súlade s oddielom 11.1 usmernení EBA o postupe SREP v maximálnej možnej miere koordinovať presný a podrobný rozsah jednotlivých informácií jednotne pre všetky subjekty v skupine.