3. Nel tempo l’entità finanziaria non si affida esclusivamente alle certificazioni di cui al paragrafo 2, lettera c), o alle relazioni di audit di cui alla lettera d) del medesimo paragrafo. La politica consente l’utilizzo dei metodi di cui al paragrafo 2, lettere c) e d), solo se l’entità finanziaria:
|
a)
|
è soddisfatta del piano di audit del fornitore terzo di servizi TIC per gli accordi contrattuali pertinenti;
|
|
b)
|
si assicura che le certificazioni o le relazioni di audit coprono i sistemi e i controlli essenziali da essa individuati e garantisce la conformità ai requisiti regolamentari pertinenti;
|
|
c)
|
valuta in modo accurato il contenuto delle certificazioni o delle relazioni di audit su base continuativa e verifica che le relazioni o le certificazioni non siano obsolete;
|
|
d)
|
si assicura che i sistemi e i controlli essenziali siano coperti nelle versioni future della certificazione o della relazione di audit;
|
|
e)
|
è soddisfatta dell’idoneità del soggetto incaricato della certificazione o dell’audit;
|
|
f)
|
è certa che le certificazioni siano rilasciate e che gli audit siano eseguiti sulla base di norme professionali pertinenti ampiamente riconosciute e includano un test dell’efficacia operativa dei controlli essenziali in essere;
|
|
g)
|
ha il diritto contrattuale di richiedere, con una frequenza ragionevole e legittima dal punto di vista della gestione dei rischi, che l’ambito delle certificazioni o delle relazioni di audit sia modificato per ricomprendere altri sistemi e controlli pertinenti;
|
|
h)
|
ha il diritto contrattuale di eseguire audit individuali e congiunti a sua discrezione in relazione agli accordi contrattuali e di esercitare tali diritti in linea con la frequenza concordata.
|