2.1 Allmänna principer

Behöriga myndigheter ska bedöma huruvida institutets allmänna styrning och ramverk för intern kontroll på ett vederbörligt sätt omfattar IKT-systemen och därmed relaterade risker och om ledningsorganet hanterar dessa aspekter på ett lämpligt sätt, eftersom IKT är en integrerad del av ett instituts funktion.

Vid denna bedömning ska de behöriga myndigheterna hänvisa till kraven och standarderna för god intern styrning och åtgärder för riskkontroll såsom specificeras i EBA:s riktlinjer för intern styrning (GL 44)⁴ och till internationell vägledning på detta område i den utsträckning de är tillämpliga med tanke på IKT-systemens särdrag och risker.

⁴ EBA:s riktlinjer för intern styrning, GL 44, 27 september 2011.

Bedömningen i detta kapitel omfattar inte de särskilda delar av IKT-systems styrning, riskhantering och kontroller vars fokus ligger på att hantera särskilda IKT-risker som behandlas i kapitel 3 i dessa riktlinjer, utan fokuserar på följande områden:

• a. IKT-strategi – huruvida institutet har en IKT-strategi som omfattas av lämplig styrning och som överensstämmer med institutets affärsstrategi.
• b. Övergripande intern styrning – huruvida institutets övergripande interna styrningsåtgärder är tillräckliga i förhållande till institutets IKT-system.
• c. IKT-risk inom ramen för institutets riskhantering – huruvida institutets riskhantering och ramverk för intern kontroll säkerställer tillräckligt skydd för institutets IKT-system.

Led a i punkt 22, som tillhandahåller information om delarna i institutets styrning, ska huvudsakligen ingå i bedömningen av den affärsmodell som avses i kapitel 4 i EBA:s ÖUP-riktlinjer. Leden b och c kompletterar ytterligare bedömningen av ämnen som omfattas av kapitel 5 i EBA:s ÖUP-riktlinjer, och den bedömning som beskrivs i dessa riktlinjer ska ingå i respektive bedömning enligt kapitel 5 i EBA:s ÖUP-riktlinjer.

Resultatet av denna bedömning ska, i förekommande fall, tjäna som underlag för bedömningen av riskhanteringen och kontrollerna i kapitel 3 i dessa riktlinjer.