6.   Finanční subjekty při výkonu práv na přístup, kontrolu a audit u poskytovatele služeb IKT z řad třetích stran předem na základě přístupu založeného na posouzení rizik stanoví četnost auditů a kontrol, jakož i oblasti, které budou auditovány s využitím obecně uznávaných auditních standardů a v souladu se všemi pokyny orgánů dohledu pro využití a začlenění těchto auditních standardů.

Pokud se smluvní ujednání uzavřená s poskytovateli služeb IKT z řad třetích stran o využívání služeb IKT týkají technicky velmi složitých otázek, finanční subjekt ověří, že interní nebo externí auditoři nebo skupina auditorů disponují odpovídajícími dovednostmi a znalostmi pro účinné provedení příslušných auditů a posouzení.

3.   Smluvní ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce zahrnují kromě prvků uvedených v odstavci 2 alespoň:

Odchylně od písmene e) se poskytovatel služeb IKT z řad třetích stran a finanční subjekt, který je mikropodnikem, mohou dohodnout, že práva finančního subjektu na přístup, kontrolu a audit mohou být přenesena na nezávislou třetí stranu určenou poskytovatelem služeb IKT z řad třetích stran a že finanční subjekt může od této třetí strany kdykoli požadovat informace a ujištění o výkonu poskytovatele služeb IKT z řad třetích stran.

1.   Finanční subjekty řídí riziko v oblasti IKT spojené s třetími stranami jako nedílnou součást rizika v oblasti IKT ve svém rámci pro řízení rizika v oblasti IKT uvedeném v čl. 6 odst. 1 podle těchto zásad:

2.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty, jiné než subjekty uvedené v čl. 16 odst. 1 prvním pododstavci a jiné než mikropodniky, přijmou a pravidelně přezkoumávají strategii pro riziko v oblasti IKT spojené s třetími stranami, přičemž případně zohlední strategii více dodavatelů uvedenou v čl. 6 odst. 9. Strategie pro riziko v oblasti IKT spojené s třetími stranami obsahuje zásady využívání služeb IKT podporujících zásadní nebo důležité funkce poskytovaných poskytovateli služeb IKT z řad třetích stran a uplatňuje se na individuálním a případně subkonsolidovaném či konsolidovaném základě. Vedoucí orgán na základě posouzení celkového rizikového profilu finančního subjektu a rozsahu a složitosti obchodních služeb pravidelně přezkoumává rizika identifikovaná v souvislosti se smluvními ujednáními o využívání služeb IKT podporujících zásadní nebo důležité funkce.

3.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty na úrovni subjektu a na subkonsolidované a konsolidované úrovni vedou a aktualizují registr informací s ohledem na všechna smluvní ujednání o využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran.

Smluvní ujednání uvedená v prvním pododstavci se řádně zdokumentují, přičemž se rozlišuje mezi těmi, která se týkají služeb IKT podporujících zásadní nebo důležité funkce a těmi, která se jich netýkají.

Finanční subjekty alespoň jednou ročně nahlásí příslušným orgánům počet nových ujednání o využívání služeb IKT, kategorie poskytovatelů služeb IKT z řad třetích stran, druh smluvních ujednání a poskytované služby a funkce IKT.

Finanční subjekt zpřístupní příslušnému orgánu na jeho žádost úplný registr informací, nebo jeho konkrétní části, dle příslušného požadavku, a rovněž jakékoli informace považované za nezbytné k účinnému dohledu nad finančním subjektem.

Finanční subjekty včas informují příslušný orgán o jakémkoli plánovaném smluvním ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce, jakož i v případě, že se některá funkce stane zásadní nebo důležitou.

4.   Finanční subjekty před uzavřením smluvního ujednání o využívání služeb IKT:

5.   Finanční subjekty smí uzavírat smluvní ujednání pouze s poskytovateli služeb IKT z řad třetích stran, kteří splňují příslušné normy v oblasti bezpečnosti informací. Pokud se tato smluvní ujednání týkají zásadních nebo důležitých funkcí, finanční subjekty před uzavřením ujednání náležitě zváží, zda poskytovatelé služeb IKT z řad třetích stran uplatňují nejaktuálnější a nejkvalitnější normy bezpečnosti informací.

7.   Finanční subjekty zajistí, aby smluvní ujednání o využívání služeb IKT bylo možné ukončit za kterékoli z těchto okolností:

8.   U služeb IKT podporujících zásadní nebo důležité funkce zavedou finanční subjekty strategie ukončení smluvního vztahu. Strategie ukončení smluvního vztahu zohlední rizika, jež mohou vzniknout na úrovni poskytovatelů služeb IKT z řad třetích stran, zejména jejich případné selhání, snížení kvality poskytovaných služeb a funkcí IKT, jakékoli narušení činnosti v důsledku nevhodného či chybného poskytování služeb IKT nebo jakéhokoli vážného rizika vznikajícího v souvislosti s řádným a nepřetržitým poskytováním příslušné služby IKT, nebo v případě ukončení smluvních ujednání s poskytovateli služeb IKT z řad třetích stran za kterékoli z okolností uvedených v odstavci 7.

Finanční subjekty zajistí, aby byly schopny ukončit smluvní ujednání, aniž by došlo k:

Plány ukončení smluvního vztahu musí být komplexní, zdokumentované a splňovat kritéria vymezená v čl. 4 odst. 2, musí být dostatečně otestovány a pravidelně přezkoumávány.

Finanční subjekty identifikují alternativní řešení a vypracují plány přechodu, které jim umožní odebrání nasmlouvaných služeb IKT a příslušných dat od poskytovatele služeb IKT z řad třetích stran a jejich bezpečný a integrovaný přenos k alternativnímu poskytovateli, nebo jejich začlenění v rámci vlastní organizace.

Finanční subjekty mají zavedena vhodná opatření pro nepředvídané události, aby byl zachován provoz, pokud by nastaly okolnosti uvedené v prvním pododstavci.