Artykuł 28 5.

Podmioty finansowe, o których mowa w ust. 1, zapewniają, aby ich uproszczone ramy zarządzania ryzykiem związanym z ICT podlegały audytowi wewnętrznemu przeprowadzanemu przez audytorów zgodnie z planami tych podmiotów finansowych dotyczącymi audytów. Audytorzy posiadają wystarczającą wiedzę, umiejętności i wiedzę fachową w zakresie ryzyka związanego z ICT oraz są niezależni. Częstotliwość i przedmiot audytów ICT są współmierne do ryzyka związanego z ICT danego podmiotu finansowego.