Article 28 5.

Les entités financières visées au paragraphe 1 veillent à ce que leur cadre simplifié de gestion du risque lié aux TIC fasse l’objet d’un audit interne réalisé par des auditeurs conformément au plan d’audit de ces entités financières. Ces auditeurs disposent de connaissances, de compétences et d’une expertise suffisantes en matière de risque lié aux TIC, et sont indépendants. La fréquence et l’objectif des audits des TIC sont proportionnés au risque lié aux TIC de l’entité financière.