60. Pristojni organi bi morali zlasti oceniti, ali ima institucija učinkovit okvir za opredelitev …

Pristojni organi bi morali zlasti oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, merjenje in zmanjševanje tveganj glede zunanjega izvajanja IKT, zlasti pa kontrole in nadzorno okolje za zmanjševanje tveganj glede pomembnih storitev IKT, oddanih v zunanje izvajanje, ki so sorazmerni z velikostjo institucije, njenimi dejavnostmi in profilom tveganj, povezanih z IKT, ter vključujejo:

• a. oceno učinka zunanjega izvajanja IKT na upravljanje t veganja v instituciji v zvezi z uporabo ponudnikov storitev (npr. ponudnikov storitev v oblaku) in njihovih storitev v procesu javnega naročanja, ki je dokumentirana in jo višje vodstvo ali upravljalni organ upošteva pri odločanju, ali

8 Nadzornik podatkov je odgovoren za upravljanje in primernost podatkovnih elementov – tako vsebine kot tudi metapodatkov.

9 Baselski odbor za bančni nadzor, Načela učinkovitega združevanja podatkov o tveganjih in poročanja o tveganj ih, januar 2013, dostopno na spletu: http://www.bis.org/publ/bcbs239.pdf. naj storitve odda v zunanje izvajanje ali ne. Institucija bi morala pregledati politike upravljanja tveganja, povezanega z IKT, ter kontrole IKT in nadzorno okolje ponudnika storitev, da bi se prepričala, ali ustrezajo njenim ciljem notranjega upravljanja tveganja in nagnjen osti k prevzemanju tveganja. Pregled bi bilo treba v pogodbenem obdobju zunanjega izvajanja redno posodabljati, pri tem pa upoštevati značilnosti storitev, oddanih v zunanje izvajanje;

• b. spremljanje tveganj, povezanih z IKT, za storitve, oddane v zunanje izvajanje, v pogodbenem obdobju zunanjega izvajanja v okviru upravljanja tveganja institucije, pri čemer se ugotovitve upoštevajo pri poročanju institucije o upravljanju tveganj, povezanih z IKT (npr. poročanje o neprekinjenem poslovanju, poročanje o varnos ti);
• c. spremljanje in primerjavo prejetih ravni storitve s pogodbeno dogovorjenimi ravnmi storitve, ki bi morali biti del pogodbe o zunanjem izvajanju ali sporazuma o ravni storitve; in
• d. ustrezno osebje, vire in pristojnosti za spremljanje in upravljanje tveganj, povezanih z IKT, ki izhajajo iz storitev, oddanih v zunanje izvajanje.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.