Naslov 1 – Splošne določbe

Pristojni organi bi morali oceno tveganja, povezanega z IKT, ter ureditve upravljanja in strategije IKT opraviti v okviru procesa SREP v skladu z modelom minimalnega posredovanja in zahtevami glede sorazmernosti, ki so določeni v naslovu 2 Smernic organa EBA o SREP. To zlasti pomeni, da:

• a. bi bila pogostost ocen tveganja, povezanega z IKT, odvisna od modela minimalnega posredovanja na podlagi kategorije po SREP, ki bi ji bila institucija dodeljena, in njenega načrta nadzorniških pregledov in
• b. bi morale biti globina, podrobnost in intenzivnost ocene tveganja, povezanega z IKT, sorazmerne z velikostjo, strukturo in operativnim okoljem institucije, pa tudi naravo, obsegom in zapletenostjo njenih dejavnosti.

Načelo sorazmernosti se v teh smernicah uporablja za obseg, pogostost in intenzivnost nadzorniškega posredovanja in dialoga z institucijami ter nadzorniško pričakovanje glede standardov, ki bi jih morala institucija dosegati.

Pristojni organi se lahko opirajo na delo in upoštevajo delo, ki ga je institucija ali pristojni organ že opravil v okviru ocen drugih tveganj ali elementov SREP, da dobijo posodobitev ocene. Pri pripravi ocen, določenih v teh smernicah, bi morali pristojni organi posebej izbrati najprimernejši pristop za nadzorno oceno ter metodologijo, ki je najustreznejša in sorazmerna za institucijo, poleg tega pa bi morali uporabiti obstoječo in razpoložljivo dokumentacijo (npr. ustrezna poročila in druge dokumente, srečanja z odgovornimi za upravljanje (tveganja), ugotovitve inšpekcijskih pregledov na kraju samem), ki bi vplivala na njihovo oceno.

Pristojni organi bi morali ugotovitve svojih ocen meril, določen ih v teh smernicah, povzeti in jih uporabiti za sklepanje o oceni elementov SREP, kot je določeno v Smernicah organa EBA o SREP.

Zlasti ocena upravljanja in strategije IKT, opravljena v skladu z naslovom 2 teh smernic, bi morala prinesti ugotovitve, ki bi vplivale na povzetek ugotovitev ocene elementa SREP, ki obsega notranje upravljanje in kontrolo na ravni celotne institucije, kot je določeno v naslovu 5 Smernic organa EBA o SREP, to oceno upravljanja in strategije IKT pa bi moral izražati tudi rezultat tega elementa SREP. Poleg tega bi morali pristojni organi upoštevati, da morebiten bistven škodljiv učinek ocene strategije IKT na poslovno strategijo institucije ali morebitni pomisleki, da institucija morda nima dovolj virov IKT in zmogljivosti IKT za iz vedbo in podpiranje pomembnih načrtovanih strateških sprememb, vplivajo na analizo poslovnega modela, opravljeno v skladu z naslovom 4 Smernic organa EBA o SREP.

Rezultat ocene tveganja, povezanega z IKT, kot je določeno v naslovu 3 teh smernic, bi moral vplivati na ugotovitve ocene operativnega tveganja, šteti pa bi se moralo tudi, da vpliva na izračun ustreznega rezultata, kot je določeno v naslovu 6.4 Smernic organa EBA o SREP.

Opozarja se, da pristojni organi podkategorije tveganj na splošno sicer ocenjujejo kot del glavnih kategorij (npr. tveganje, povezano z IKT, bo ocenjeno kot del operativnega tveganja), če menijo, da so nekatere podkategorije pomembne, pa jih lahko ocenijo posebej. Če pristojni organ tveganje, povezano z IKT, opredeli kot pomembno , je v te smernice v ta namen vključena tabela za izračun rezultata (tabela 1), ki se uporabi za samostojen rezultat za podkategorijo tveganja, povezanega z IKT, pridobljen v skladu s splošnim pristopom k izračunu rezultatov za tveganja za kapital iz Smern ic organa EBA za SREP.

Da bi pristojni organi ugotovili, ali bi bilo treba tveganje, povezano z IKT, obravnavati kot pomembno in ga torej oceniti posebej kot podkategorijo operativnega tveganja, lahko uporabijo merila, določena v oddelku 6.1 Smernic organa EBA o SREP.

Pri uporabi teh smernic bi morali pristojni organi, če je to ustrezno, proučiti neizčrpen seznam podkategorij tveganja, povezanega z IKT, in scenarijev tveganja, ki so navedeni v Prilogi, pri tem pa upoštevati, da se Priloga osredotoča na tveganja, povezana z IKT, ki lahko povzročijo zelo velike izgube. Nekatera tveganja, povezana z IKT, ki so vključena v taksonomijo, lahko pristojni organi izpustijo, če niso pomembna za njihovo oceno. Od institucij se pričakuje, da vodijo svojo taksonomijo tve ganj, namesto da uporabljajo taksonomijo tveganja, povezanega z IKT, ki je navedena v Prilogi.

Če se te smernice uporabljajo za čezmejne bančne skupine in njihove subjekte ter je bil vzpostavljen kolegij nadzornikov, pristojni organi v okviru svojega sodelovanja za oceno SREP v skladu z oddelkom 11.1 Smernic organa EBA o SREP čim bolj uskladijo natančno in podrobno področje uporabe vsake informacijske postavke za vse subjekte skupine.