Kapitel 1 – Allmänna bestämmelser

Behöriga myndigheter ska genomföra bedömningen av IKT-risken och strukturen på den interna styrningen och IKT-strategin som en del av ÖUP-processen med iakttagande av modellen för minsta insats och proportionalitetskriterierna såsom de specificeras i kapitel 2 i EBA:s ÖUP-riktlinjer. Detta innebär i synnerhet att

• a. frekvensen för IKT-riskbedömningen beror på modellen för minsta insats i överensstämmelse med den ÖUP-kategori som ett institut tillhör och dess särskilda tillsynsprogram, och att
• b. IKT-bedömningens djup, detaljrikedom och intensitet ska vara proportionerlig till institutets storlek, struktur och operativa miljö såväl som dess verksamhets natur, omfattning och komplexitet.

Proportionalitetsprincipen är genomgående tillämplig i dessa riktlinjer när det gäller tillsynsinsatsens och dialogens omfattning, frekvens och intensitet, och när det gäller förväntningarna på de standarder som institutet ska uppfylla.

Behöriga myndigheter kan förlita sig på och beakta det arbete som redan utförts av institutet eller den behöriga myndigheten inom ramen för bedömningar av andra risker eller ÖUP-element för att få en uppdaterad bedömning. Särskilt vid genomförande av bedömningar som specificeras i dessa riktlinjer ska de behöriga myndigheterna välja den tillsynsmetod och det tillvägagångssätt som är lämpligast och mest proportionerligt för institutet, och de behöriga myndigheterna ska använda befintlig och tillgänglig dokumentation (t.ex. relevanta rapporter och andra handlingar, möten med ledningen och riskkontrollfunktioner, resultat från inspektioner på plats) som ska tjäna som underlag för de behöriga myndigheternas bedömning.

Behöriga myndigheter ska sammanfatta resultaten från sina bedömningar av kriterierna som specificeras i dessa riktlinjer, och använda dem för sina slutsatser vid bedömningen av de ÖUP-element som specificeras i EBA:s ÖUP-riktlinjer.

I synnerhet ska den bedömning av styrningen och IKT-strategin som genomförs i enlighet med kapitel 2 i dessa riktlinjer tjäna som underlag för sammanfattningen av resultaten av bedömningen av den interna styrningen och de institutionsomfattande ÖUP-kontrollelementen, såsom specificeras i kapitel 5 i EBA:s ÖUP-riktlinjer och reflekteras i respektive betygsättning av ÖUP-elementet. Vidare bör de behöriga myndigheterna beakta att all väsentlig negativ påverkan från IKT-strategibedömningen på institutets affärsstrategi, eller farhågor om att institutet kanske inte har tillräckliga IKT-resurser och IKT-kapacitet för att genomföra och stödja viktiga planerade strategiska förändringar, ska tjäna som underlag för analysen av affärsmodellen i enlighet med kapitel 4 i EBA:s ÖUP-riktlinjer.

Resultatet från bedömningen av IKT-risken, såsom den specificeras i kapitel 3 i dessa riktlinjer, ska tjäna som underlag för bedömningen av operativ risk och ska anses tjäna som underlag för relevant betygsättning såsom specificeras i kapitel 6.4 i EBA:s ÖUP-riktlinjer.

Det ska observeras att medan behöriga myndigheter i allmänhet ska bedöma underkategorier av risker som en del av huvudkategorierna (dvs. IKT-risken ska bedömas som en del av operativ risk), får behöriga myndigheter anse vissa underkategorier vara väsentliga och även bedöma sådana underkategorier på individuell basis. Om den behöriga myndigheten mot denna bakgrund skulle identifiera IKT-risken som en väsentlig risk, tillhandahålls även en betygstabell (tabell 1) i dessa riktlinjer som ska användas för en självständig betygsättning av IKT-risk som underkategori och som följer det övergripande tillvägagångssättet vid betygsättning av kapitalrisker i EBA:s ÖUP-riktlinjer.

För att få en uppfattning om huruvida IKT-risker kan anses vara väsentliga och således möjligheten att IKT-risker bedöms och betygsätts som en individuell underkategori av operativ risk får behöriga myndigheter använda de kriterier som fastställs i avsnitt 6.1 i EBA:s ÖUP-riktlinjer.

De behöriga myndigheterna ska i förekommande fall beakta den icke-uttömmande förteckningen över underkategorier och riskscenarier för IKT-risker som anges i bilagan, och observera att fokus i bilagan ligger på IKT-risker som kan medföra allvarliga förluster. Behöriga myndigheter kan utesluta några av de IKT-risker som omfattas av klassificeringen om de inte är relevanta för deras bedömning. Instituten förväntas bibehålla sina egna riskklassificeringar i stället för att använda den IKT-riskklassificering som anges i bilagan.

Om dessa riktlinjer tillämpas med avseende på gränsöverskridande bankgrupper och deras enheter, och om ett tillsynskollegium har inrättats, bör de behöriga myndigheterna, inom ramen för deras samarbete avseende ÖUP-bedömningen i enlighet med avsnitt 11.1 i EBA:s ÖUP-riktlinjer, i största möjliga utsträckning samordna den exakta och detaljerade omfattningen av varje informationspost på ett konsekvent sätt för alla gruppenheter.