60. Behöriga myndigheter ska särskilt bedöma huruvida institutet har ett effektivt ramverk för att …

Behöriga myndigheter ska särskilt bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå och mäta IKT-risker vid uppdragsavtal, och i synnerhet har kontroller och en kontrollmiljö för att minska risker i samband med väsentliga utkontrakterade IKT-tjänster som är proportionerliga till institutets storlek, verksamhet och IKT-riskprofil, och som omfattar följande:

• a. En bedömning av vilken påverkan som IKT-utkontrakteringen får på institutets riskhantering med avseende på användningen av tjänsteleverantörer (t.ex. leverantörer av molntjänster) och deras tjänster under upphandlingsprocessen som är dokumenterad och beaktas av verkställande ledningen eller ledningsorganet vid beslutet att utkontraktera tjänsten eller inte. Institutet ska granska policyer för IKT-riskhantering och IKT-kontroller och tjänsteleverantörens kontrollmiljö för att säkerställa att de uppfyller institutets interna riskhanteringsmål och riskaptit. Denna granskning ska uppdateras regelbundet under uppdragsavtalets löptid, med beaktande av de utkontrakterade tjänsternas karaktär.
• b. Övervakning av de IKT-risker som de utkontrakterade tjänsterna medför under uppdragsavtalets löptid som en del av institutets riskhantering och som ingår i institutets rapportering om IKT-riskhantering (t.ex. rapportering om kontinuitet och säkerhet).
• c. Övervakning och jämförelse av de erhållna servicenivåerna med de avtalade servicenivåer som ska vara del av uppdragsavtalet eller servicenivåavtalet.
• d. Tillräckligt med personal, resurser och kompetens för att övervaka och hantera IKT-riskerna från de utkontrakterade tjänsterna.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/