2. W polityce określa się, że odpowiednie ustalenia umowne mają obejmować prawo podmiotu finansowego do dostępu do informacji, przeprowadzania inspekcji i audytów oraz do przeprowadzania testów w odniesieniu do ICT. W tym celu w polityce zobowiązuje się podmiot finansowy do stosowania następujących metod, bez uszczerbku dla ostatecznej odpowiedzialności podmiotu finansowego:
|
a)
|
własnego audytu wewnętrznego lub audytu przeprowadzanego przez wyznaczoną osobę trzecią;
|
|
b)
|
w stosownych przypadkach – audytów zbiorczych i zbiorczych testów ICT, w tym testów penetracyjnych pod kątem wyszukiwania zagrożeń, które są organizowane wspólnie z innymi zamawiającymi podmiotami finansowymi lub firmami korzystającymi z usług ICT tego samego zewnętrznego dostawcy usług ICT i które są przeprowadzane przez te zamawiające podmioty finansowe lub firmy lub przez wyznaczoną przez nie osobę trzecią;
|
|
c)
|
w stosownych przypadkach – certyfikatów wydanych przez osoby trzecie;
|
|
d)
|
w stosownych przypadkach – sprawozdań z audytu wewnętrznego lub sprawozdania z audytu prowadzonego przez osobę trzecią udostępnionych przez zewnętrznego dostawcę usług ICT.
|