2.4 IKT-risk inom ramen för institutets riskhantering

Vid bedömningen av institutets institutomfattande riskhantering och interna kontroller, såsom föreskrivs i kapitel 5 i EBA:s ÖUP-riktlinjer, ska de behöriga myndigheterna överväga huruvida institutets riskhantering och ramverk för intern kontroll säkerställer tillräckligt skydd av institutets IKT-system på ett sätt som står i proportion till institutets storlek och verksamhet och dess IKT-riskprofil såsom den definieras i kapitel 3. De behöriga myndigheterna ska särskilt fastställa huruvida

• a. riskaptiten och IKU omfattar IKT-riskerna som en del av den mer övergripande kategorin för operativa risker, för framtagandet av den övergripande riskstrategin och fastställande av internt kapital, och huruvida
• b. IKT-riskerna omfattas av den institutomfattande riskhanteringen och ramverken för intern kontroll.

Behöriga myndigheter ska genomföra bedömningen enligt led a ovan med beaktande av både förväntade och ogynnsamma scenarier, t.ex. scenarier som omfattas av stresstester för institutet eller från tillsynsmyndigheten.

Särskilt med avseende på led b ska de behöriga myndigheterna bedöma huruvida funktionerna för oberoende kontroll och internrevision, såsom föreskrivs i punkterna 104 a, 104 d, 105 a och 105 c i EBA:s ÖUP-riktlinjer, är lämpliga för att säkerställa en tillräcklig grad av oberoende mellan IKT och kontroll- och revisionsfunktionerna, med hänsyn till institutets storlek och IKT-riskprofil.