Articolo 28 5.

Le entità finanziarie di cui al paragrafo 1 provvedono affinché il loro quadro semplificato per la gestione dei rischi informatici sia sottoposto a verifiche di audit interne effettuate da addetti all’audit in linea con i piani di audit delle entità finanziarie. Tali addetti all’audit possiedono conoscenze, competenze ed esperienze adeguate in materia di rischi informatici e sono indipendenti. La frequenza e l’oggetto delle verifiche di audit in materia di TIC sono commisurati ai rischi connessi alle TIC cui è esposta l’entità finanziaria.