3. De financiële entiteit mag zich in de loop der tijd niet uitsluitend blijven baseren op de in lid 2, punt c), bedoelde certificeringen of in punt d) van dat lid bedoelde auditverslagen. Het beleid staat het gebruik van de in lid 2, punten c) en d), bedoelde methoden alleen toe indien de financiële entiteit:
|
(a)
|
tevreden is over het auditplan van de derde aanbieder van ICT-diensten voor de relevante contractuele overeenkomsten;
|
|
(b)
|
ervoor zorgt dat het toepassingsgebied van de certificeringen of auditverslagen betrekking heeft op de door haar vastgestelde systemen en essentiële controles, en dat de naleving van de relevante regelgevingsvereisten wordt gewaarborgd;
|
|
(c)
|
de inhoud van de certificeringen of auditverslagen doorlopend grondig beoordeelt en verifieert of de verslagen of certificeringen niet achterhaald zijn;
|
|
(d)
|
ervoor zorgt dat essentiële systemen en controles in toekomstige versies van het certificerings- of auditverslag aan bod komen;
|
|
(e)
|
tevreden is over de bekwaamheid van de certificerings- of auditpartij;
|
|
(f)
|
ervan overtuigd is dat de certificeringen worden afgegeven en dat de audits worden uitgevoerd aan de hand van algemeen erkende relevante professionele normen en een test omvatten van de operationele doeltreffendheid van de bestaande essentiële controles;
|
|
(g)
|
het contractuele recht heeft om, met een uit het oogpunt van risicobeheer redelijke en gerechtvaardigde frequentie, te verzoeken de certificeringen of auditverslagen uit te breiden naar andere relevante systemen en controles;
|
|
(h)
|
het contractuele recht heeft om naar eigen goeddunken individuele en gebundelde audits met betrekking tot de contractuele overeenkomsten uit te voeren en die rechten uit te voeren in overeenstemming met de afgesproken frequentie.
|