Καμία ανοχή σε τεχνολογικά ρίσκα τραπεζών και κενά

Σε ακόμη αυστηρότερο έλεγχο των τεχνολογικών υποδομών και της ψηφιακής ανθεκτικότητας των τραπεζών προχωρά η Ευρωπαϊκή Κεντρική Τράπεζα, μέσω νέου ερωτηματολογίου τεχνολογικού κινδύνου (IT Risk Questionnaire – ITRQ) 2026, που δημοσιεύθηκε στην ιστοσελίδα της εποπτικής αρχής.

Το μήνυμα προς τις τράπεζες είναι σαφές: Η τεχνολογία δεν αποτελεί πλέον ζήτημα που αφορά μόνο τα τμήματα πληροφορικής. Η διοίκηση και το διοικητικό συμβούλιο καλούνται να γνωρίζουν, να αξιολογούν και να παρακολουθούν ενεργά τους κινδύνους που συνδέονται με τα πληροφοριακά συστήματα. Η προσέγγιση της ΕΚΤ συνδέεται άμεσα με το ευρωπαϊκό πλαίσιο Ψηφιακής Επιχειρησιακής Ανθεκτικότητας (Digital Operational Resilience Act – DORA).

Η ΕΚΤ ζητά μια συνολική εικόνα του τεχνολογικού κινδύνου (ICT risk), δηλαδή του κινδύνου που προκύπτει από τη χρήση πληροφοριακών και επικοινωνιακών τεχνολογιών. Στο μικροσκόπιο μπαίνουν, μεταξύ άλλων: η κυβερνοασφάλεια (cybersecurity), η διαθεσιμότητα των πληροφοριακών συστημάτων, η επιχειρησιακή συνέχεια, η διαχείριση αλλαγών στα συστήματα, η ακεραιότητα των δεδομένων, τα παλαιά τεχνολογικά συστήματα, οι εξωτερικοί πάροχοι τεχνολογίας, οι υπηρεσίες υπολογιστικού νέφους (cloud services), οι έλεγχοι πρόσβασης, τα περιστατικά κυβερνοασφάλειας και τα ευρήματα εσωτερικού και εξωτερικού ελέγχου.

Η εποπτική αρχή δεν περιορίζεται στην καταγραφή των διαδικασιών. Ζητά αριθμητικά στοιχεία, ιστορικό περιστατικών, οικονομικές απώλειες, επενδύσεις, προσωπικό και στοιχεία που επιτρέπουν να αξιολογηθεί κατά πόσο τα μέτρα λειτουργούν στην πράξη.

Η αξιολόγηση της ΕΚΤ βασίζεται ουσιαστικά σε δύο διαφορετικές διαστάσεις. Η πρώτη είναι το επίπεδο τεχνολογικού κινδύνου (ICT Risk Level – ITRL). Εδώ εξετάζεται πόσο εκτεθειμένη είναι μια τράπεζα σε κινδύνους που σχετίζονται με την τεχνολογία. Η δεύτερη είναι το επίπεδο ελέγχου τεχνολογικού κινδύνου (ICT Risk Control – ITRC). Εδώ εξετάζεται κατά πόσο οι μηχανισμοί ελέγχου της τράπεζας είναι επαρκείς και ώριμοι.

Η διάκριση είναι σημαντική. Μια τράπεζα μπορεί να έχει υψηλή έκθεση σε τεχνολογικό κίνδυνο επειδή διαθέτει πολύπλοκα συστήματα, μεγάλο όγκο συναλλαγών και σημαντική εξάρτηση από τρίτους, αλλά ταυτόχρονα να διαθέτει ισχυρούς ελέγχους. Αντίθετα, μια τράπεζα με μικρότερη έκθεση μπορεί να εμφανίζει αδυναμίες στο πλαίσιο ελέγχου.

Ένα από τα ζητήματα που αναδεικνύει το ερωτηματολόγιο είναι η χρήση παλαιών ή κληρονομημένων πληροφοριακών συστημάτων (legacy systems). Πρόκειται για συστήματα που μπορεί να λειτουργούν επί πολλά χρόνια και να εξακολουθούν να υποστηρίζουν κρίσιμες τραπεζικές λειτουργίες, ενώ παράλληλα η τεχνογνωσία που απαιτείται για τη συντήρησή τους γίνεται όλο και πιο δυσεύρετη. Η ΕΚΤ θέλει να γνωρίζει ποια κρίσιμη λειτουργία εξαρτάται από τέτοια συστήματα, ποιος είναι ο κίνδυνος και εάν υπάρχει σχέδιο αντιμετώπισης. Με άλλα λόγια, ένα παλιό σύστημα δεν είναι απλώς θέμα τεχνολογικού εκσυγχρονισμού. Μπορεί να αποτελέσει εποπτικό κίνδυνο, εάν η αποτυχία του επηρεάζει κρίσιμες υπηρεσίες της τράπεζας.

Η συνέχεια και η ανάκαμψη

Η επιχειρησιακή συνέχεια (business continuity) και η ανάκαμψη από καταστροφή (disaster recovery) αποτελούν βασικά μέρη της αξιολόγησης. Η ΕΚΤ θέλει να γνωρίζει τι συμβαίνει εάν καταρρεύσει ένα κέντρο δεδομένων, αν υπάρξει κυβερνοεπίθεση, αν διακοπεί η ηλεκτροδότηση, αν καταστεί μη διαθέσιμο ένα κρίσιμο πληροφοριακό σύστημα, αν υπάρξει πρόβλημα σε εξωτερικό πάροχο, αν υπάρξει απώλεια προσωπικού, αν σημειωθεί φυσική καταστροφή.

Η ΕΚΤ ζητά επίσης στοιχεία για τα ευρήματα ελέγχου (audit findings). Δεν ενδιαφέρεται μόνο για το πόσα ευρήματα εντοπίστηκαν, αλλά και πόσα παραμένουν ανοικτά, πόσα είναι κρίσιμα, πόσο καιρό παραμένουν ανοικτά, πόσα έχουν καθυστερήσει, και πόσο αποτελεσματικά εφαρμόζονται τα σχέδια διορθωτικών ενεργειών.

Μια από τις σημαντικότερες πτυχές του νέου πλαισίου είναι η έμφαση στη διακυβέρνηση. Η ΕΚΤ θέλει να διαπιστώσει πόσο συχνά το διοικητικό συμβούλιο και η ανώτατη διοίκηση ενημερώνονται για τους κυβερνοκινδύνους, τους κινδύνους από εξωτερικούς παρόχους, σημαντικά τεχνολογικά έργα, ευρήματα ελέγχων, καθυστερημένες διορθωτικές ενέργειες.