3.1 Allmänna överväganden

Behöriga myndigheter ska bedöma huruvida institutet på ett lämpligt sätt har identifierat, bedömt och minskat sina IKT-risker. Denna process ska vara del av det operativa riskhanteringsramverket och överensstämma med det tillvägagångssätt som är tillämpligt på operativa risker.

Behöriga myndigheter ska först identifiera de väsentliga inneboende IKT-risker för vilka institutet är eller kan bli exponerat, följt av en bedömning av effektiviteten i institutets ramverk för hantering av IKT-risker samt förfaranden och kontroller för att minska dessa risker. Resultatet av bedömningen ska avspeglas i en resultatsammanfattning som upptas i betyget för operativ risk i ÖUP-riktlinjerna. När IKT-risken anses vara väsentlig och de behöriga myndigheterna vill sätta ett enskilt betyg ska tabell 1 användas för att betygsätta en underordnad risk till den operativa risken.

I samband med bedömningen enligt detta kapitel ska de behöriga myndigheterna använda alla tillgängliga informationskällor som fastställs i punkt 127 i kapitel 6 i EBA:s ÖUP-riktlinjer, t.ex. institutets riskhanteringsverksamhet, rapportering och resultat som grund för fastställandet av deras prioriteringar med avseende på tillsynsmyndighetens bedömning. Behöriga myndigheter ska även använda andra informationskällor för att göra denna bedömning, inbegripet följande i tillämpliga fall:

• a. Självbedömningar av IKT-risker och kontroller (om detta föreskrivs i IKU-informationen).
• b. Ledningsinformation som rör IKT-risker som ingetts till institutets ledningsorgan, t.ex. periodisk IKT-rapportering och rapportering som grundas på enskilda incidenter (inbegripet i databasen över operativa förluster), uppgifter om exponering för IKT-risker från institutets riskhanteringsfunktion.
• c. IKT-relaterade interna och externa granskningsresultat som rapporterats till institutets revisionskommitté.