3.1 Splošni premisleki

Pristojni organi bi morali oceniti, ali je institucija ustrezno opredelila, ocenila in zmanjšala tveganja, povezana z IKT. Postopek bi moral spadati v okvir upravljanja operativnega tveganja in se skladati s pristopom k operativnemu tveganju.

Pristojni organi bi morali najprej ugotoviti, katera so pomembna inherentna tveganja, povezana z IKT, ki jim je ali bi jim bila lahko izpostavljena institucija, nato pa oceniti učinkovitost okvira institucije za upravljanje tveganj, povezanih z IKT, ter postopkov in kontrol za zmanjševanje teh tveganj. Rezultat ocene bi moral biti vključen v povzetek ugotovitev, ki se uporabi za izračun rezultata operativnega tveganja v skladu s Smernicami organa EBA o SREP. Če je tveganje, povezano z IKT, označeno za pomembno in mu že lijo pristojni organi dodeliti posamezen rezultat, se uporabi tabela 1 za dodelitev rezultata podtveganja v okviru operativnega tveganja.

Pri pripravi ocene v skladu s tem naslovom bi morali pristojni organi uporabiti vse razpoložljive vire informacij, kot je navedeno v odstavku 127 naslova 6 Smernic organa EBA o SREP, npr. dejavnosti institucije za upravljanje tveganja, poročanje in rezultati, ter jih vzeti za podlago pri opredelitvi svojih prednostnih nalog pri nadzorni oceni. Pristojni organi bi morali pri pripravi ocene uporabiti tudi druge vire informacij, vključno z naslednjimi, če je to ustrezno:

• a. samoocene tveganja, povezanega z IKT, in kontrol (če so vključene v informacije o ICAAP);
• b. upravljavske informacije v zvezi s tveganjem, povezanim z IKT, ki s o predložene upravljalnemu organu institucije, npr. redno poročanje o tveganju, povezanem z IKT, na podlagi incidentov (tudi v zbirki podatkov o operativnih izgubah) in podatki o izpostavljenosti tveganju, povezanemu z IKT, ki jih posreduje funkcija upravljanja tveganja institucije;
• c. ugotovitve notranje in zunanje revizije v zvezi z IKT, ki se sporočijo revizijskemu odboru institucije.