1. La politique exige que les besoins métiers de l’entité financière soient définis avant la conclusion de tout accord contractuel.
2. La politique exige qu’une évaluation des risques soit effectuée au niveau de l’entité financière et, s’il y a lieu, aux niveaux consolidé et sous-consolidé, avant la conclusion de tout accord contractuel.
L’évaluation des risques tient compte de toutes les exigences pertinentes énoncées dans le règlement (UE) 2022/2554 et dans la législation sectorielle de l’Union applicable. Elle tient compte, en particulier, des incidences que peut avoir sur l’entité financière la fourniture de services TIC soutenant des fonctions critiques ou importantes par des prestataires tiers de tels services, et de tous les risques liés à cette fourniture, qui incluent:
a) les risques opérationnels;
b) les risques juridiques;
c) les risques liés aux TIC;
d) les risques réputationnels;
e) les risques liés à la protection de données confidentielles ou à caractère personnel;
f) les risques liés à la disponibilité des données;
g) les risques liés au lieu où les données sont traitées et stockées;
h) les risques liés à la situation géographique du prestataire tiers de services TIC;
i) les risques de concentration de TIC au niveau de l’entité.