3. Financijski subjekt s vremenom se ne oslanja isključivo na certifikate iz stavka 2. točke (c) ili izvješća o reviziji iz točke (d) tog stavka. Politikom se primjena metoda iz stavka 2. točaka (c) i (d) dopušta samo ako financijski subjekt:
|
(a)
|
zadovoljan je planom revizije treće strane pružatelja IKT usluga o relevantnim ugovornim aranžmanima;
|
|
(b)
|
osigurava da certifikati ili izvješća o reviziji obuhvaćaju sustave i ključne kontrole koje je utvrdio te usklađenost s relevantnim regulatornim zahtjevima;
|
|
(c)
|
temeljito i kontinuirano ocjenjuje sadržaj certifikata ili izvješća o reviziji i provjerava jesu li izvješća ili certifikati zastarjeli;
|
|
(d)
|
osigurava da su ključni sustavi i kontrole obuhvaćeni budućim verzijama certifikata ili izvješća o reviziji;
|
|
(e)
|
zadovoljan je sposobnošću stranke koja izdaje certifikate ili provodi reviziju;
|
|
(f)
|
zadovoljan je jer se certifikati izdaju i revizije provode u skladu s općepriznatim relevantnim profesionalnim standardima te uključuju ispitivanje operativne učinkovitosti uspostavljenih ključnih kontrola;
|
|
(g)
|
ima ugovorno pravo zahtijevati, s učestalošću koja je razumna i opravdana sa stajališta upravljanja rizikom, da se certifikati ili izvješća o reviziji izmijene kako bi uključivali druge relevantne sustave i kontrole;
|
|
(h)
|
ima ugovorno pravo po vlastitom nahođenju provoditi pojedinačne i skupne revizije ugovornih aranžmana i izvršavati to pravo s dogovorenom učestalošću.
|