3.3 Ocena kontrol za zmanjševanje pomembnih tveganj, povezanih z IKT

Za oceno izpostavljenosti institucije preostalemu tveganju, povezanemu z IKT, bi morali pristojni organi proučiti, kako institucija opredeljuje, spremlja, ocenjuje in zmanjšuje pomembna tveganja, ki so jih pristojni organi opredelili v zgornji oceni.

V ta namen bi morali pristojni organi za opredeljena pomembna tveganja, povezana z IKT, pregledati veljavne:

• a. politiko upravljanja tveganja, povezanega z IKT, procese in pragove sprejemljivega tveganja;
• b. organizacijsko upravljanje in nadzorni okvir;
• c. obseg in ugotovitve notranje revizije; in
• d. kontrole tveganja, povezanega z IKT, ki se nanašajo posebej na opredeljeno pomembno tveganje, povezano z IKT.

Pri oceni bi bilo treba upoštevati rezultat analize upravljanja celotnega tveganja in okvira notranjih kontrol, kot je omenjeno v naslovu 5 Smernic organa EBA o SREP, pa tudi upravljanje in strategijo institucije, kot je navedeno v naslovu 2 teh smernic, saj lahko bistvene pomanjkljivosti, ugotovljene na teh pod ročjih, vplivajo na sposobnost institucije, da upravlja in zmanjšuje svojo izpostavljenost tveganju, povezanemu z IKT. Kjer je to ustrezno, bi morali pristojni organi uporabiti tudi vire informacij iz odstavka 37 teh smernic.

Pristojni organi bi morali nas lednje ocenjevalne korake izvesti na način, ki je sorazmeren z naravo, obsegom in zapletenostjo dejavnosti institucije ter z uporabo nadzorniškega pregledovanja, ki ustreza njenemu profilu tveganja, povezanega z IKT.

3.3.1 Politika upravljanja tveganja, povezane ga z IKT, procesi in pragovi sprejemljivega tveganja

Pristojni organi bi morali proučiti, ali je institucija sprejela ustrezne politike upravljanja tveganja, procese in pragove sprejemljivega tveganja za opredeljena pomembna tveganja, povezana z IKT. Lahko so del okvira upravljanja operativnega tveganja ali pa spadajo v ločen dokument. Pri tej oceni bi morali pristojni organi upoštevati, ali:

• a. je politika upravljana tveganja formalizirana, jo je odobril upravljalni organ ter vsebuje dovolj smernic o nagnjenosti institucije k prevzemanju tveganja, povezanega z IKT, glavnih ciljih upravljanja tega tveganja in/ali uporabljenih pragovih sprejemljivega tveganja. O politiki upravljanja tveganja, povezanega z IKT, se obvestijo tudi vsi ustrezni deležniki;
• b. veljavna politika zajema vse pomembne elemente za upravljanje opredeljenih pomembnih tveganj, povezanih z IKT;
• c. je institucija uvedla proces in osnovne postopke za opredelitev (npr. samoocena tveganja in kontrol, analiza scenarijev tveganja) in spremljanje zadevnih pomembnih tveganj, povezanih z IKT; in
• d. je institucija uvedla poročanje o upravljanju tveganja, povezanega z IKT, s katerim se višjemu vodstvu in upravljalnemu organu pravočasno posredujejo informacije ter se jima omogoči, da ocenita in spremljata, ali so načrti in ukrepi institucije za zmanjševanje tveganja, povezanega z IKT, skladni z odobrenimi nagnjenostjo k prevzemanju tveganja in/ali pragovi sprejemljivega tveganja (če je to ustrezno), ter spremljata spremembe pomembnih tveganj, povezanih z IKT.

3.3.2 Organizacijsko upravljanje in nadzorni okvir

Pristojni organi bi morali oceniti, kako so veljavne vloge in odgovornosti pri upravljanju tveganja vgrajene in vključene v notranjo organizacijo za upravljanje in nadziranje opredeljenih pomembnih tveganj, povezanih z IKT. V zvezi s tem bi morali pristojni organi oceniti, ali institucija izkazuje:

• a. jasne vloge in odgovornosti za opredelitev, oceno, spremljanje in zmanjševanje zadevnih pomembnih tveganj, povezanih z IKT, ter za poročanje o njih in nadzor nad njimi ;
• b. da so vloge in odgovornosti v zvezi s tveganjem jasno sporočene, dodeljene in vgrajene v vse ustrezne dele (npr. poslovna področja, IT) in procese organizacije, vključno z vlogami in odgovornostmi za zbiranje in združevanje informacij o tveganju ter poročanje o njih višjemu vodstvu in/ali upravljalnemu organu;
• c. da se dejavnosti upravljanja tveganja, povezanega z IKT, izvajajo z ustreznimi človeškimi in tehničnimi viri primerne kakovosti. Za ocenjevanje verodostojnosti veljavnih načrtov za zmanjševanje tveganja bi morali pristojni organi oceniti tudi, ali je institucija za njihovo izvedbo dodelila ustrezne finančne proračune in/ali druge potrebne vire;
• d. ustrezno nadaljnjo obravnavo in odgovor upravljalnega organa, kar zadeva pomembne ugotovitve neodvisnih kontrolnih funkcij o tveganjih, povezanih z IKT, ob upoštevanju možnega prenosa nekaterih vidikov na odbor, če ta obstaja; in
• e. da so izvzetosti iz veljavnih predpisov in politik zabeležene ter vključene v evidentiran pregled in poročanje neodvisne kontrolne f unkcije s poudarkom na z njimi povezanih tveganjih.

3.3.3 Obseg in ugotovitve notranje revizije

Pristojni organi bi morali ugotoviti, ali je funkcija notranje revizije učinkovita, ko gre za revizijo veljavnega okvira kontrol tveganja, povezanega z IKT, in sicer tako, da proučijo, ali:

• a. se revizija okvira kontrol tveganja, povezanega z IKT, izvaja z zahtevano kakovostjo, podrobnostjo in pogostostjo ter sorazmerno z velikostjo, dejavnostmi in profilom tveganja, povezanega z IKT;
• b. načrt revizije vključuje revizije kritičnih tveganj, povezanih z IKT, ki jih opredeli institucija;
• c. se o pomembnih ugotovitvah revizij IKT, vključno z dogovorjenimi ukrepi, poroča upravljalnemu organu; in
• d. ugotovitve revizij IKT, vključno z dogovorjenimi ukrepi, nadalje obravnava višje vodstvo in/ali revizijski odbor, prav tako pa redno pregleduje poročila o napredku.

3.3.4 Kontrole tveganja, povezanega z IKT, ki se nanašajo posebej na opredeljena pomembna tveganja, povezana z IKT

Za opredeljena pomembna tveganja, povezana z IKT, bi morali pristojni organi oceniti, ali ima institucija ustrezne kontrole za njihovo obravnavo. Naslednji oddelki vsebujejo neizčrpen seznam posebnih kontrol, ki jih je treba upoštevati pri ocenjevanju pomembnih tveganj, opredeljenih v točki 3.2.3, ki so bila razvrščena v na slednje kategorije tveganj, povezanih z IKT:

• a. tveganja glede razpoložljivosti in neprekinjenega delovanja IKT;
• b. tveganja glede varnosti IKT;
• c. tveganja glede sprememb IKT;
• d. tveganja glede celovitosti podatkov IKT;
• e. tveganja glede zunanjega izvajanja IKT.
• (a) Kontro le za upravljanje pomembnih tveganj glede razpoložljivosti in neprekinjenega delovanja IKT

Poleg zahtev iz Smernic organa EBA o SREP (odstavki 279 do 281) bi morali pristojni organi oceniti, ali ima institucija ustrezen okvir za opredelitev, razumevanje, merjenje in zmanjševanje tveganj glede razpoložljivosti in neprekinjenega delovanja IKT.

Pri tej oceni bi morali pristojni organi zlasti upoštevati, ali okvir:

• a. kritične procese IKT in ustrezne podporne sisteme IKT, ki bi morali biti vključeni v načrte za poslovno odpornost in neprekinjeno poslovanje, opredeljuje s:
• i. celovito analizo odvisnosti med kritičnimi poslovnimi procesi in podpornimi sistemi;
• ii. določitvijo ciljev obnove za podporne sisteme IKT (te na primer v obliki ciljnega časa obnove in ciljne točke obnove običajno določajo podjetje in/ali predpisi);
• iii. ustreznimi kriznimi načrti, ki omogočajo razpoložljivost, neprekinjeno delovanje in obnovo kritičnih sistemov in storitev IKT, da bi motnje v poslovanju institucije omejili na sprejemljiv obseg;
• b. ima poslovno odpornost, politike za neprekinjeno delovanje nadzornega okolja ter standarde in operativne kontrole, ki vključujejo:
• i. ukrepe za preprečevanje razmer, v katerih bi en sam scenarij, incident ali nesreča vplivala tako na produkcijske sisteme IKT kot tudi na sisteme IKT za obnovo;
• ii. postopke varnostnih kopij in obnove sistemov IKT za kritično programsko opremo in podatke, s katerimi je zagotovljeno, da se varnostne kopije shranjujejo na varnem in dovolj oddaljenem mestu, da incident ali nesreča ne more uničiti ali pokvariti kritičnih podatkov;
• iii. spremljanje rešitev za pravočasno odkrivanje incidentov z zvezi z razpoložljivostjo ali neprekinjenim delovanjem IKT;
• iv. dokumentiran proces obvladovanja in stopnjevanja incidentov, ki zagotavlja tudi smernice o različnih vlogah in odgovornostih v zvezi z obvladovanjem in stopnjevanjem incidentov, članih kriznih odborov in hierarhije dajanja navodil ob izrednih dogodkih;
• v. fizične ukrepe tako za zaščito kritične infrastrukture IKT (npr. podatkovnih centrov) institucije pred okoljskimi tveganji (npr. poplavami in drugimi naravnimi nesrečami) kot tudi za zagotavljanje ustreznega obratovalnega okolja za sisteme IKT (npr. klimatske naprave);
• vi. procese, vloge in odgovornosti za zagotavljanje, da so tudi sistemi in storitve IKT, oddani v zunanje izvajanje, zajeti v ustrezne rešitve in načrte za poslovno odpornost in neprekinjeno poslovanje;
• vii. rešitve za načrtovanje in spremljanje uspešnosti in zmogljivosti IKT za kritične sisteme in storitve IKT z opredeljenimi zahtevami glede razpoložljivosti, da bi pravočasno opazili pomembne omejitve uspešnosti in zmogljivosti;
• viii. če je to potrebno in ustrezno, rešitve za zaščito kritičnih internetnih dejavnosti ali storitev (npr. storitve e- bančništva) pred zavrnitvami storitve in drugimi kibernetskimi napadi prek interneta, ki so namenjeni preprečevanju ali motenju dostopa do teh dejavnosti in storitev;
• c. preizkuša rešitve za razpoložljivost in neprekinjeno delovanje IKT v primeru različnih realističnih scenarijev, vključno s kibernetskimi napadi, preizkusi nadomestnega načina delovanja in preizkusi varnostnih kopij kritične programske opreme in podatkov, ki:
• i. so načrtovani, formalizirani in dokumentirani, rezultati preizkusov pa se up orabijo za izboljšanje učinkovitosti rešitev za razpoložljivost in neprekinjeno delovanje IKT;
• ii. vključujejo deležnike in funkcije znotraj organizacije, kot je vodstvo poslovnega področja, vključno s skupinami za neprekinjeno poslovanje, odzivanje na incide nte in odzivanje na krize, ter ustrezne zunanje deležnike v ekosistemu;
• iii. zagotavljajo ustrezno sodelovanje z upravljalnim organom in višjim vodstvom (npr. kot del skupine za krizno upravljanje), ki sta tudi obveščena o rezultatih preizkusov.
• (b) Kontrole za upr avljanje pomembnih tveganj glede varnosti IKT

Pristojni organi bi morali oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, merjenje in zmanjševanje tveganj glede varnosti IKT. Pri tej oceni bi morali pristojni organi zlasti preveriti, ali okvir upošteva:

• a. jasno opredeljene vloge in odgovornosti glede:
• i. oseb in/ali odborov, ki so pristojni in/ali odgovorni za vsakodnevno upravljanje varnosti IKT ter pripravo splošnih politik za varnost IKT s poudarkom na potrebi po njihovi neodvisnosti;
• ii. zasnove, izvedbe, upravljanja in spremljanja varnostnih kontrol IKT;
• iii. zaščite kritičnih sistemov in storitev IKT, tako da se sprejmejo na primer proces ocenjevanja ranljivosti, upravljanje programskih popravkov, zaščita na končni točki (npr. v primeru zl onamernega virusa) ter orodja za zaznavanje in preprečevanje vdorov;
• iv. spremljanja, razvrščanja in obravnave zunanjih ali notranjih incidentov v zvezi z varnostjo IKT, vključno z odzivanjem na incidente ter ponovnim zagonom in obnovitvijo sistemov in storit ev IKT;
• v. rednih in proaktivnih ocen nevarnosti za vzdrževanje ustreznih varnostnih kontrol;
• b. politiko za varnost IKT, ki upošteva in po potrebi spoštuje mednarodno priznane standarde varnost in varnostna načela IKT (npr. načelo najmanjših pravic – omejitev dostopa na najnižjo raven, ki še omogoča običajno delovanje, pri upravljanju pravic dostopa, in načelo obrambe v globino – večplastni varnostni mehanizmi, ki izboljšajo varnost sistema kot celote, pri načrtovanju varnostne arhitekture);
• c. proces za opredelit ev sistemov in storitev IKT ter sorazmernih varnostnih zahtev za IKT, ki odražajo tveganje goljufij in/ali možne nepravilne uporabe in/ali zlorabe zaupnih podatkov, ter dokumentirana pričakovanja glede varnosti, ki jih je treba upoštevati pri teh opredelje nih sistemih, storitvah in podatkih IKT ter so usklajena s pragom sprejemljivega tveganja institucije, poleg tega pa se spremlja njihovo pravilno izvajanje;
• d. dokumentiran proces obvladovanja in stopnjevanja varnostnih incidentov, ki zagotavlja smernice o ra zličnih vlogah in odgovornostih v zvezi z obvladovanjem in stopnjevanjem incidentov, članih kriznih odborov in hierarhije dajanja navodil ob izrednih varnostnih dogodkih;
• e. beleženje dejavnosti uporabnikov in skrbnikov, ki omogoča učinkovito spremljanje ter pravočasno zaznavanje nepooblaščenih dejavnosti in odzivanje nanje; namenjeno je izvajanju forenzičnih preiskav varnostnih incidentov ali pomoči pri takih raziskavah. Institucija bi morala sprejeti politiko beleženja, v kateri so opredeljeni ustrezne vrste evidenc, ki jih je treba voditi, in obdobje shranjevanja takih evidenc;
• f. kampanje in pobude za ozaveščanje in obveščanje, s katerimi se vse ravni institucije obvestijo o varni uporabi in zaščiti sistemov IKT ter glavnih tveganjih glede varnosti IKT (in dru gih tveganjih), ki se jih je treba zavedati, zlasti kar zadeva obstoječe in razvijajoče se kibernetske nevarnosti (npr. računalniške viruse, možne notranje ali zunanje zlorabe ali napade, kibernetske napade) ter njihovo vlogo pri zmanjševanju kršitev varnosti;
• g. ustrezne fizične varnostne ukrepe (npr. videokamere, protivlomni alarm, varnostna vrata) za preprečevanje nepooblaščenega fizičnega dostopa do kritičnih in občutljivih sistemov IKT (npr. podatkovnih centrov);
• h. ukrepe za zaščito sistemov IKT pred napad i z interneta (npr. kibernetskimi napadi) ali drugih zunanjih omrežij (npr. tradicionalnih telekomunikacijskih povezav ali povezav z zanesljivimi partnerji). Pristojni organi bi morali preveriti, ali okvir institucije upošteva:
• i. proces in rešitve za vzdrževanje popolnega in posodobljenega popisa in pregleda vseh navzven usmerjenih priključnih točk omrežij (npr. spletišča, internetne aplikacije, brezžična omrežja, dostop na daljavo), prek katerih bi lahko tretja oseba vdrla v notranje sisteme IKT;
• ii. stro go upravljane in nadzorovane varnostne ukrepe (npr. požarne zidove, posredniške strežnike, posredovalnike elektronske pošte, protivirusne skenerje in skenerje vsebine) za zaščito vhodnega in izhodnega omrežnega prometa (npr. elektronske pošte) ter navzven usmerjenih priključnih točk omrežij, prek katerih bi lahko tretja oseba vdrla v notranje sisteme IKT;
• iii. procese in rešitve za zaščito spletišč in aplikacij, ki jih je mogoče neposredno napasti z interneta in/ali od zunaj ter jih uporabiti kot vhodno točko z a dostop do notranjih sistemov IKT. Ti procesi in rešitve na splošno obsegajo mešanico priznanih praks varnega razvoja, praks krepitve in skeniranja sistemov IKT za ranljivosti in/ali uvedbo dodatnih varnostnih rešitev, kot so na primer požarni sistemi v a plikacijah in/ali sistemi za zaznavanje in/ali preprečevanje vdorov;
• iv. redno preizkušanje prodora skozi varnostne ukrepe, da bi ocenili učinkovitost izvedenih kibernetskih in notranjih ukrepov in procesov za varnost IKT. Preizkuse bi morali izvajati zaposleni in/ali zunanji izvedenci s potrebnim strokovnim znanjem, dokumentirane rezultate in sklepe pa sporočiti višjemu vodstvu in/ali upravljalnemu organu. Če je to potrebno in ustrezno, bi morala institucija iz preizkusov ugotoviti, kje mora dodatno izboljšati varnostne kontrole in procese in/ali pridobiti boljša zagotovila o njihovi učinkovitosti.
• (c) Kontrole za upravljanje pomembnih tveganj glede sprememb IKT

Pristojni organi bi morali oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, me rjenje in zmanjševanje tveganj glede sprememb IKT, ki je sorazmeren z naravo, obsegom in zapletenostjo dejavnosti institucije ter njenim profilom tveganja, povezanega z IKT. Okvir institucije bi moral zajemati tveganja, povezana z razvojem, preizkušanjem i n odobritvijo sprememb sistemov IKT, vključno z razvojem ali spremembo programske opreme, preden so prenesene v produkcijsko okolje, zagotavljati pa bi moral tudi ustrezno upravljanje življenjskega cikla IKT. Pri tej oceni bi morali pristojni organi zlasti preveriti, ali okvir upošteva:

• a. dokumentirane procese za upravljanje in nadziranje sprememb sistemov IKT (npr. upravljanje konfiguracije in popravkov) in podatkov IKT (npr. rešitve za hrošče ali popravki podatkov), ki zagotavljajo ustrezno upravljanje tveganj, povezanih z IKT, v primeru pomembnih sprememb IKT, ki lahko bistveno vplivajo na profil tveganja institucije ali njeno izpostavljenost tveganju;
• b. specifikacije o zahtevanem ločevanju dolžnosti v različnih fazah izvedenih procesov sprememb IKT (npr. zasnova in razvoj rešitev, preizkušanje in odobritev nove programske opreme in/ali sprememb, prenos in izvedba v produkcijskem okolju ter rešitve za hrošče) s poudarkom na rešitvah in ločevanju dolžnosti za upravljanje in nadziranje sprememb produkcijskih si stemov in podatkov IKT, ki jih izvede osebje IKT (npr. razvijalci, skrbniki sistemov IKT, skrbniki zbirk podatkov) ali druge osebe (npr. poslovni uporabniki, ponudniki storitev);
• c. testna okolja, ki so dovolj podobna produkcijskim okoljem;
• d. popis obstoječih aplikacij in sistemov IKT v produkcijskem okolju, pa tudi v testnem in razvojnem okolju, da je mogoče zahtevane spremembe (npr. posodobitve ali nadgradnje različic, popravke sistemov, spremembe konfiguracije) ustrezno upravljati, izvajati in spremljati za vse zadevne sisteme IKT;
• e. proces za spremljanje in upravljanje življenjskega cikla uporabljenih sistemov IKT, ki zagotavlja, da ti sistemi še naprej izpolnjujejo in podpirajo dejanske poslovne zahteve in zahteve upravljanja tveganja ter da imajo uporabljene rešitve in sistemi IKT še vedno podporo prodajalcev, spremljati pa jih morajo tudi ustrezni postopki za življenjski cikel razvoja programske opreme;
• f. sistem za nadzor različic izvorne kode in ustrezne postopke za preprečevanje nepooblaščen ih sprememb izvorne kode programske opreme, ki se razvija znotraj institucije;
• g. proces za preverjanje varnosti in ranljivosti novih ali pomembno spremenjenih sistemov IKT in programske opreme, preden se ti prenesejo v produkcijsko okolje in izpostavijo možn im kibernetskim napadom;
• h. proces in rešitve za preprečevanje nepooblaščenega ali nenamernega razkritja zaupnih podatkov, ko se sistemi IKT nadomestijo, arhivirajo, zavržejo ali uničijo;
• i. procese neodvisnega pregleda in potrjevanja za zmanjšanje tveganja člov eških napak pri izvajanju sprememb sistemov IKT, ki imajo lahko pomemben škodljiv vpliv na razpoložljivost, neprekinjeno poslovanje ali varnost institucije (npr. pomembne spremembe konfiguracije požarnega zidu, spremembe požarnih zidov).
• (d) Kontrole za upravl janje pomembnih tveganj glede celovitosti podatkov IKT

Pristojni organi bi morali oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, merjenje in zmanjševanje tveganj glede celovitosti podatkov IKT, ki je sorazmeren z naravo, obsegom in zapletenostjo dejavnosti institucije ter njenim profilom tveganja, povezanega z IKT. Okvir institucije bi moral upoštevati tveganja, povezana z ohranitvijo celovitosti podatkov, ki se shranjujejo in obdelujejo v sistemih IKT. Pri tej oceni bi morali pristojni organi zlasti preveriti, ali okvir upošteva:

• a. politiko, ki opredeljuje vloge in odgovornosti pri upravljanju celovitosti podatkov v sistemih IKT (npr. podatkovni arhitekt, odgovorne osebe za podatke⁶ , skrbniki podatkov⁷ , lastniki/nadzorniki

6 Odgovorna oseba za podatke je odgovorna za obdelavo in uporabo podatkov. 7 Skrbnik podatkov je odgovoren za varno skrbništvo, prevoz in shranjevanje podatkov. podatkov⁸ ) ter vključuje smernice o podatkih, ki so kritični z vidika celovitosti podatkov in bi bilo treba zanje uvesti posebne kontrole IKT (npr. avtomatizirane kontrole za potrjevanje vnosov, kontrole prenosa podatkov, uskladitve itd.) ali preglede (npr. preve rjanje združljivosti s podatkovno arhitekturo) v različnih fazah življenjskega cikla podatkov IKT;

• b. dokumentirano podatkovno arhitekturo, podatkovni model in/ali slovar, ki je potrjen pri ustreznih poslovnih in računalniških deležnikih, namenjen pa je podpiranju potrebne skladnosti podatkov v vseh sistemih IKT ter zagotavljanju, da so podatkovna arhitektura, podatkovni model in/ali slovar stalno usklajeni s poslovnimi potrebami in potrebami upravljanja tveganja;
• c. politiko o dovoljeni uporabi računalništva končnega uporabnika in zanašanju nanj, zlasti kar zadeva opredelitev, registracijo in dokumentacijo pomembnih računalniških rešitev končnega uporabnika (npr. pri obdelavi pomembnih podatkov) ter pričakovane varnostne stopnje za preprečevanje nepooblaščen ih sprememb tako orodja kot tudi v njem shranjenih podatkov;
• d. dokumentirane procese za obravnavo izjem, ki so namenjeni reševanju prepoznanih težav s celovitostjo podatkov IKT v skladu z njihovo kritičnostjo in občutljivostjo.

V primeru nadziranih instituc ij, ki spadajo v področje uporabe načel BCBS 239 glede učinkovitega združevanja podatkov o tveganjih in poročanja o tveganjih⁹ , bi morali pristojni organi pregledati analizo zmogljivosti institucije za poročanje o tveganjih in združevanje podatkov v primerjavi z načeli in pripravljeno dokumentacijo o tem, pri tem pa upoštevati časovni okvir za izvedbo in prehodne ureditve v teh načelih.

• (e) Kontrole za upravljanje pomembnih tveganj glede zunanjega izvajanja IKT

Pristojni organi bi morali oceniti, ali strategija institucije za zunanje izvajanje v skladu z zahtevami smernic odbora SEBS o zunanjem izvajanju (2006) in zahtevo iz odstavka 85(d) Smernic organa EBA o SREP ustrezno velja za zunanje izvajanje IKT, vključno z oddajanjem storitev IKT v zunanje iz vajanje subjektu znotraj skupine. Pri ocenjevanju tveganj glede zunanjega izvajanja IKT bi morali pristojni organi upoštevati, da so lahko ta tveganja zajeta tudi v oceno inherentnih operativnih tveganj iz odstavka 240(j) Smernic organa EBA o SREP, da bi p reprečili podvajanje dela ali dvojno štetje.

Pristojni organi bi morali zlasti oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, merjenje in zmanjševanje tveganj glede zunanjega izvajanja IKT, zlasti pa kontrole in nadzorno okolje za zmanjševanje tveganj glede pomembnih storitev IKT, oddanih v zunanje izvajanje, ki so sorazmerni z velikostjo institucije, njenimi dejavnostmi in profilom tveganj, povezanih z IKT, ter vključujejo:

• a. oceno učinka zunanjega izvajanja IKT na upravljanje t veganja v instituciji v zvezi z uporabo ponudnikov storitev (npr. ponudnikov storitev v oblaku) in njihovih storitev v procesu javnega naročanja, ki je dokumentirana in jo višje vodstvo ali upravljalni organ upošteva pri odločanju, ali

8 Nadzornik podatkov je odgovoren za upravljanje in primernost podatkovnih elementov – tako vsebine kot tudi metapodatkov.

9 Baselski odbor za bančni nadzor, Načela učinkovitega združevanja podatkov o tveganjih in poročanja o tveganj ih, januar 2013, dostopno na spletu: http://www.bis.org/publ/bcbs239.pdf. naj storitve odda v zunanje izvajanje ali ne. Institucija bi morala pregledati politike upravljanja tveganja, povezanega z IKT, ter kontrole IKT in nadzorno okolje ponudnika storitev, da bi se prepričala, ali ustrezajo njenim ciljem notranjega upravljanja tveganja in nagnjen osti k prevzemanju tveganja. Pregled bi bilo treba v pogodbenem obdobju zunanjega izvajanja redno posodabljati, pri tem pa upoštevati značilnosti storitev, oddanih v zunanje izvajanje;

• b. spremljanje tveganj, povezanih z IKT, za storitve, oddane v zunanje izvajanje, v pogodbenem obdobju zunanjega izvajanja v okviru upravljanja tveganja institucije, pri čemer se ugotovitve upoštevajo pri poročanju institucije o upravljanju tveganj, povezanih z IKT (npr. poročanje o neprekinjenem poslovanju, poročanje o varnos ti);
• c. spremljanje in primerjavo prejetih ravni storitve s pogodbeno dogovorjenimi ravnmi storitve, ki bi morali biti del pogodbe o zunanjem izvajanju ali sporazuma o ravni storitve; in
• d. ustrezno osebje, vire in pristojnosti za spremljanje in upravljanje tveganj, povezanih z IKT, ki izhajajo iz storitev, oddanih v zunanje izvajanje.