Artykuł 8 3

a)

jest zadowolony z planu audytu zewnętrznego dostawcy usług ICT w odniesieniu do odpowiednich ustaleń umownych;

b)

zapewnia, aby zakres certyfikatów lub sprawozdań z audytu obejmował zidentyfikowane przez siebie systemy i kluczowe mechanizmy kontroli oraz zapewniał zgodność z odpowiednimi wymogami regulacyjnymi;

c)

na bieżąco dokładnie ocenia treść certyfikatów lub sprawozdań z audytu i sprawdza, czy sprawozdania lub certyfikaty są aktualne;

d)

zapewnia uwzględnienie kluczowych systemów i mechanizmów kontroli w przyszłych wersjach sprawozdania z certyfikacji lub audytu;

e)

jest usatysfakcjonowany umiejętnościami podmiotu certyfikującego lub przeprowadzającego audyt;

f)

stwierdza, że certyfikaty są wydawane, a audyty są przeprowadzane zgodnie z powszechnie uznanymi odpowiednimi normami zawodowymi i obejmują test skuteczności operacyjnej stosowanych kluczowych mechanizmów kontroli;

g)

ma wynikające z umowy prawo do żądania – z częstotliwością rozsądną i uzasadnioną z punktu widzenia zarządzania ryzykiem, zmian zakresu certyfikatów lub sprawozdań z audytu – do innych odpowiednich systemów i mechanizmów kontroli;

h)

ma wynikające z umowy prawo do przeprowadzania audytów indywidualnych i zbiorczych wedle własnego uznania w odniesieniu do ustaleń umownych oraz wykonywania tych praw zgodnie z uzgodnioną częstotliwością.