49. Behöriga myndigheter ska granska huruvida institutet har lämpliga policyer, förfaranden och …

Behöriga myndigheter ska granska huruvida institutet har lämpliga policyer, förfaranden och tröskelvärden för tolerans för de väsentliga IKT-risker som identifierats. Dessa kan vara del av ramverket för hantering av operativ risk eller ett separat dokument. Vid denna bedömning ska de behöriga myndigheterna beakta följande:

• a. Om riskhanteringspolicyn är formaliserad och godkänd av ledningsorganet och innehåller tillräcklig vägledning om institutets IKT-riskaptit och om de huvudsakliga mål som eftersträvas vad gäller IKT-riskhantering och/eller tillämpade tröskelvärden för IKT-risktolerans. Relevant policy för hantering av IKT-risker ska också kommuniceras till alla berörda intressenter.
• b. Om den tillämpliga policyn omfattar alla väsentliga element för riskhanteringen av de identifierade väsentliga IKT-riskerna.
• c. Om institutet har infört en process och underliggande förfaranden för identifiering (t.ex. självbedömningar av risker och kontroller, analys av riskscenarier) liksom övervakning av de aktuella väsentliga IKT-riskerna.
• d. Om institutet rapporterar om hanteringen av IKT-risker och lämnar information i tid till verkställande ledningen och ledningsorganet och gör det möjligt för verkställande ledningen och/eller ledningsorganet att bedöma och övervaka huruvida institutets planer och åtgärder för att reducera IKT-riskerna är förenliga med den godkända riskaptiten och/eller toleransnivåerna (i förekommande fall) och att granska förändringar av väsentliga IKT-risker.

3.3.2 Ram för organisatorisk förvaltning och tillsyn

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/