Article 8 3

a)

est convaincue par le plan d’audit du prestataire tiers de services TIC pour les accords contractuels concernés;

b)

s’assure que les certifications ou rapports d’audit couvrent les systèmes et contrôles clés indiqués par elle, et veille au respect des exigences réglementaires applicables;

c)

évalue en permanence et de manière approfondie le contenu des certifications ou des rapports d’audit et vérifie que ces rapports ou certifications ne sont pas obsolètes;

d)

veille à ce que les systèmes et contrôles clés soient couverts par les futures versions des certifications ou rapports d’audit;

e)

est convaincue des aptitudes du tiers qui délivre la certification ou effectue l’audit;

f)

a la conviction que les certifications sont délivrées, et les audits effectués, dans le respect de normes professionnelles pertinentes largement reconnues, et qu’ils comportent un test de l’efficacité opérationnelle des contrôles clés mis en place;

g)

a le droit contractuel de demander, à une fréquence raisonnable et légitime du point de vue de la gestion des risques, que les certifications ou rapports d’audit soient modifiés de manière à englober d’autres systèmes et contrôles pertinents;

h)

a le droit contractuel d’effectuer à sa discrétion des audits individuels et groupés relatifs aux accords contractuels, et d’exercer ce droit selon la fréquence convenue.