Artículo 28 5.

Las entidades financieras a que se refiere el apartado 1 garantizarán que su marco simplificado de gestión del riesgo relacionado con las TIC sea objeto de auditoría interna llevada a cabo por auditores, en consonancia con su plan de auditoría. Los auditores poseerán conocimientos, capacidades y pericia suficientes en materia de riesgo relacionado con las TIC y serán independientes. La frecuencia y el enfoque de las auditorías de TIC serán acordes con el riesgo relacionado con las TIC de la entidad financiera.