(2) A szabályzatban meg kell határozni, hogy a releváns szerződéses megállapodásoknak tartalmazniuk kell a pénzügyi szervezet információkhoz való hozzáféréssel, vizsgálatok és ellenőrzések végrehajtásával, valamint IKT-tesztek elvégzésével kapcsolatos jogát. E célból – és a pénzügyi szervezet végső felelősségének sérelme nélkül – a szabályzatban elő kell írni, hogy a pénzügyi szervezetnek alkalmaznia kell a következő módszereket:
|
a)
|
saját belső ellenőrzése vagy kijelölt harmadik fél által végzett ellenőrzés;
|
|
b)
|
adott esetben olyan csoportos ellenőrzések és csoportos IKT-tesztelés, beleértve a fenyegetés alapú behatolási tesztelést is, amelyeket az ugyanazon harmadik fél IKT-szolgáltató által nyújtott IKT-szolgáltatásokat igénybe vevő különböző szerződő pénzügyi szervezetek vagy vállalkozások közösen szerveznek, és ezek a szerződő pénzügyi szervezetek vagy vállalkozások, vagy az általuk kijelölt harmadik fél végeznek el;
|
|
c)
|
adott esetben harmadik fél általi tanúsítás;
|
|
d)
|
adott esetben a harmadik fél IKT-szolgáltató által rendelkezésre bocsátott belső ellenőrzési jelentések vagy harmadik fél által készített ellenőrzési jelentések.
|