+Articolo 3 Meccanismi di governance
---+Articolo 3 1
---+Articolo 3 2
---+Articolo 3 3
---+Articolo 3 4
---+Articolo 3 5
---+Articolo 3 6
---+Articolo 3 7
---+Articolo 3 8

Articolo 3 Meccanismi di governance

-

1. Panoramica

,
Articolo 3 1

1.   L’organo di gestione riesamina la politica almeno una volta all’anno e la aggiorna se necessario. Le modifiche apportate alla politica sono attuate in modo tempestivo e non appena possibile nell’ambito degli accordi contrattuali pertinenti. L’entità finanziaria documenta la tempistica prevista per l’attuazione.
Articolo 3 2

2.   La politica stabilisce o fa riferimento a una metodologia per determinare quali sono i servizi TIC a supporto di funzioni essenziali o importanti. La politica specifica inoltre quando tale valutazione deve essere condotta e riesaminata.
Articolo 3 3

3.   La politica assegna chiaramente le responsabilità interne per l’approvazione, la gestione, il controllo e la documentazione dei pertinenti accordi contrattuali e assicura che all’interno dell’entità finanziaria siano mantenute le competenze, l’esperienza e le conoscenze adeguate a supervisionare efficacemente i pertinenti accordi contrattuali, compresi i servizi TIC forniti nell’ambito di tali accordi.
Articolo 3 4

4.   Fatta salva la responsabilità finale dell’entità finanziaria di supervisionare efficacemente gli accordi contrattuali pertinenti, la politica impone di valutare se il fornitore terzo di servizi TIC dispone di risorse sufficienti a garantire il rispetto da parte dell’entità finanziaria di tutti i requisiti di natura legale e regolamentare relativi ai servizi TIC a supporto di funzioni essenziali o importanti che sono prestati.
Articolo 3 5

5.   La politica individua chiaramente il ruolo o il dirigente di rango elevato responsabile del monitoraggio degli accordi contrattuali pertinenti. La politica specifica le modalità di collaborazione tra il ruolo o il dirigente di rango elevato e le funzioni di controllo, salvo nel caso in cui ne faccia parte, e definisce le linee gerarchiche di comunicazione all’organo di gestione, compresi la natura delle informazioni da comunicare e i documenti da fornire. Essa stabilisce altresì la frequenza di tale comunicazione.
Articolo 3 6

6.   La politica garantisce che gli accordi contrattuali siano coerenti con:

a)

il quadro per la gestione dei rischi informatici di cui all’articolo 6 del regolamento (UE) 2022/2554;

b)

la politica di sicurezza dell’informazione di cui all’articolo 9, paragrafo 4, del regolamento (UE) 2022/2554;

c)

la politica di continuità operativa delle TIC di cui all’articolo 11 del regolamento (UE) 2022/2554;

d)

gli obblighi di segnalazione degli incidenti di cui all’articolo 19 del regolamento (UE) 2022/2554.
Articolo 3 7

7.   La politica impone che i servizi TIC a supporto di funzioni essenziali o importanti prestati da fornitori terzi di servizi TIC siano soggetti a un riesame indipendente e siano inclusi nel piano di audit.
Articolo 3 8

8.   La politica specifica esplicitamente che gli accordi contrattuali:

a)

non sollevano l’entità finanziaria e il suo organo di gestione dagli obblighi regolamentari e dalle responsabilità nei confronti dei clienti;

b)

non devono impedire l’efficace vigilanza dell’entità finanziaria e non devono contravvenire a eventuali restrizioni di vigilanza sui servizi e sulle attività;

c)

devono prescrivere che i fornitori terzi di servizi TIC collaborino con le autorità competenti;

d)

devono prescrivere che l’entità finanziaria, i suoi revisori e le autorità competenti abbiano effettivo accesso ai dati e ai locali connessi all’utilizzo dei servizi TIC a supporto di funzioni essenziali o importanti.

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

Requisiti

3. Standard correlati

Standard