Artikel 3 Governanceregelingen

1.   Het leidinggevend orgaan evalueert het beleid ten minste eenmaal per jaar en werkt het zo nodig bij. Wijzigingen in het beleid worden tijdig uitgevoerd en zo spoedig als mogelijk is binnen de relevante contractuele overeenkomsten. De financiële entiteit documenteert het geplande tijdschema voor de uitvoering.

2.   Het beleid voorziet in of verwijst naar een methode om te bepalen welke ICT-diensten kritieke of belangrijke functies ondersteunen. In het beleid wordt ook gespecificeerd wanneer deze beoordeling moet worden uitgevoerd en geëvalueerd.

3.   In het beleid worden de interne verantwoordelijkheden voor de goedkeuring, het beheer, de controle en de documentatie van relevante contractuele overeenkomsten duidelijk toegewezen en wordt gewaarborgd dat binnen de financiële entiteit passende vaardigheden, ervaring en kennis in stand worden gehouden om effectief toezicht te houden op de relevante contractuele overeenkomsten, met inbegrip van de ICT-diensten die in het kader van die overeenkomsten worden verleend.

4.   Onverminderd de eindverantwoordelijkheid van de financiële entiteit om effectief toezicht te houden op relevante contractuele regelingen, moet het beleid vereisen dat de derde aanbieder van ICT-diensten wordt geacht over voldoende middelen te beschikken om ervoor te zorgen dat de financiële entiteit voldoet aan al haar wettelijke en regelgevingsvereisten met betrekking tot de ICT-diensten die kritieke of belangrijke functies ondersteunen.

5.   In het beleid wordt duidelijk aangegeven welke rol of welk lid van het hoger leidinggevend personeel verantwoordelijk is voor het toezicht op de relevante contractuele overeenkomsten. In het beleid wordt gespecificeerd hoe die rol of dat lid van het hoger leidinggevend personeel met de controlefuncties samenwerkt, tenzij die/dat er deel van uitmaakt, en worden de rapportagelijnen voor het leidinggevend orgaan vastgesteld, met inbegrip van de aard van de te rapporteren informatie en de te verstrekken documenten. In het verslag wordt ook de frequentie van die rapportage vastgesteld.

6.   Het beleid waarborgt dat de contractuele overeenkomsten in overeenstemming zijn met het volgende:

7.   Het beleid vereist dat ICT-diensten ter ondersteuning van kritieke of belangrijke functies die door derde aanbieders van ICT-diensten worden verleend, aan een onafhankelijke evaluatie worden onderworpen en in het auditplan worden opgenomen.

8.   In het beleid wordt uitdrukkelijk gespecificeerd dat de contractuele overeenkomsten: