3. La entidad financiera no se basará de manera indefinida únicamente en las certificaciones a que se refiere el apartado 2, letra c), ni en los informes de auditoría a que se refiere la letra d) de dicho apartado. La política solo permitirá el uso de los métodos a que se refiere el apartado 2, letras c) y d), cuando la entidad financiera:
|
a)
|
considere satisfactorio el plan de auditoría del proveedor tercero de servicios de TIC para los acuerdos contractuales pertinentes;
|
|
b)
|
garantice que las certificaciones o los informes de auditoría cubran los sistemas y controles clave determinados por la entidad financiera y garantice el cumplimiento de los requisitos reglamentarios pertinentes;
|
|
c)
|
evalúe exhaustivamente el contenido de las certificaciones o de los informes de auditoría de forma continua y verifica que los informes o certificaciones no estén obsoletos;
|
|
d)
|
garantice que las futuras versiones de la certificación o del informe de auditoría abarquen los sistemas y controles clave;
|
|
e)
|
esté convencida de la aptitud de la parte certificadora o auditora;
|
|
f)
|
tenga la convicción de que las certificaciones se han expedido y de que las auditorías se llevan a cabo con arreglo a normas profesionales pertinentes ampliamente reconocidas e incluyen una prueba de la eficacia operativa de los controles clave establecidos;
|
|
g)
|
tenga el derecho contractual a solicitar, con una frecuencia razonable y legítima desde el punto de vista de la gestión del riesgo, modificaciones del alcance de las certificaciones o informes de auditoría ampliándolo a otros sistemas y controles pertinentes;
|
|
h)
|
tenga el derecho contractual a realizar auditorías individuales y conjuntas discrecionales en relación con los acuerdos contractuales y a ejecutar dichos derechos de acuerdo con la frecuencia acordada.
|