2.4 Tveganje, povezano z IKT, v okviru institucije za upravljanje tveganja

Pri ocenjevanju upravljanja tveganja v vsej instituciji in notranjih kontrol, kot predvideva naslov 5 Smernic organa EBA o SREP, bi morali pristojni organi upoštevati, ali so z upravljanjem tveganja in okvirom notranjih kontrol sistemi IKT v instituciji ustrezno zaščiteni na način, ki je sorazmeren z velikostjo in dejavnostmi institucije ter njenim profilom tveganja, povezanega z IKT, kot je opredeljeno v naslovu 3. Pristojni organi bi morali predvsem ugotoviti, ali:

• a. nagnjenost k prevzemanju tveganja in ICAAP zajemata tveganja, povezana z IKT, kot del širše kategorije operativnega tveganja, in sicer za potrebe opredelitve strategije za celotno tveganje in določitve notranjega kapitala; in
• b. so tveganja, povezana z IKT, vključena v upravljanje tveganja v vsej instituciji in okvire notranjih kontrol.

Pristojni organi bi morali oceno pod točko (a) zgoraj opraviti ob upoštevanju tako pričakova nih kot tudi negativnih scenarijev, npr. scenarijev, ki so vključeni v stresni test za posamezno institucijo ali v nadzorniški stresni test.

Zlasti kar zadeva (b), bi morali pristojni organi oceniti, ali sta neodvisna kontrolna funkcija in funkcija notranje revizije, kot je navedeno v odstavkih 104(a), 104(d) in 105(c) Smernic organa EBA o SREP, ustrezni za zagotavljanje zadostne ravni neodvisnosti med IKT ter funkcijama kontrole in revizije glede na velikost institucije in njen profil tveganja, povezanega z IKT.