60. Pristojni organi bi morali zlasti oceniti, ali ima institucija učinkovit okvir za opredelitev …

Pristojni organi bi morali zlasti oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, merjenje in zmanjševanje tveganj glede zunanjega izvajanja IKT, zlasti pa kontrole in nadzorno okolje za zmanjševanje tveganj glede pomembnih storitev IKT, oddanih v zunanje izvajanje, ki so sorazmerni z velikostjo institucije, njenimi dejavnostmi in profilom tveganj, povezanih z IKT, ter vključujejo:

• a. oceno učinka zunanjega izvajanja IKT na upravljanje t veganja v instituciji v zvezi z uporabo ponudnikov storitev (npr. ponudnikov storitev v oblaku) in njihovih storitev v procesu javnega naročanja, ki je dokumentirana in jo višje vodstvo ali upravljalni organ upošteva pri odločanju, ali

8 Nadzornik podatkov je odgovoren za upravljanje in primernost podatkovnih elementov – tako vsebine kot tudi metapodatkov.

9 Baselski odbor za bančni nadzor, Načela učinkovitega združevanja podatkov o tveganjih in poročanja o tveganj ih, januar 2013, dostopno na spletu: http://www.bis.org/publ/bcbs239.pdf. naj storitve odda v zunanje izvajanje ali ne. Institucija bi morala pregledati politike upravljanja tveganja, povezanega z IKT, ter kontrole IKT in nadzorno okolje ponudnika storitev, da bi se prepričala, ali ustrezajo njenim ciljem notranjega upravljanja tveganja in nagnjen osti k prevzemanju tveganja. Pregled bi bilo treba v pogodbenem obdobju zunanjega izvajanja redno posodabljati, pri tem pa upoštevati značilnosti storitev, oddanih v zunanje izvajanje;

• b. spremljanje tveganj, povezanih z IKT, za storitve, oddane v zunanje izvajanje, v pogodbenem obdobju zunanjega izvajanja v okviru upravljanja tveganja institucije, pri čemer se ugotovitve upoštevajo pri poročanju institucije o upravljanju tveganj, povezanih z IKT (npr. poročanje o neprekinjenem poslovanju, poročanje o varnos ti);
• c. spremljanje in primerjavo prejetih ravni storitve s pogodbeno dogovorjenimi ravnmi storitve, ki bi morali biti del pogodbe o zunanjem izvajanju ali sporazuma o ravni storitve; in
• d. ustrezno osebje, vire in pristojnosti za spremljanje in upravljanje tveganj, povezanih z IKT, ki izhajajo iz storitev, oddanih v zunanje izvajanje.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/