3. A entidade financeira não pode, ao longo do tempo, basear-se exclusivamente nas certificações a que se refere o n.o 2, alínea c), nem nos relatórios de auditoria a que se refere a alínea d) desse número. A política só deve permitir a utilização dos métodos a que se refere o n.o 2, alíneas c) e d), se a entidade financeira:
|
a)
|
Estiver satisfeita com o plano de auditoria do terceiro prestador de serviços de TIC no que diz respeito aos acordos contratuais relevantes;
|
|
b)
|
Assegurar que o âmbito das certificações ou dos relatórios de auditoria abrange os sistemas e os controlos fundamentais por si identificados e assegurar o cumprimento dos requisitos regulamentares pertinentes;
|
|
c)
|
Avaliar de forma exaustiva e contínua o conteúdo das certificações ou dos relatórios de auditoria e verificar se os relatórios ou certificações não estão desatualizados;
|
|
d)
|
Assegurar que os principais sistemas e controlos sejam abordados em futuras versões da certificação ou do relatório de auditoria;
|
|
e)
|
Estiver satisfeita com a aptidão da entidade de certificação ou auditoria;
|
|
f)
|
Considerar que as certificações são emitidas e as auditorias são realizadas de acordo com normas profissionais relevantes amplamente reconhecidas e incluem um teste da eficácia operacional dos principais controlos em vigor;
|
|
g)
|
Tiver o direito contratual de solicitar, com uma frequência razoável e legítima do ponto de vista da gestão dos riscos, alterações do âmbito das certificações ou dos relatórios de auditoria a outros sistemas e controlos pertinentes;
|
|
h)
|
Tiver o direito contratual de realizar auditorias individuais e conjuntas, se assim o entender, no que diz respeito aos acordos contratuais e de aplicar esses direitos de acordo com a frequência definida.
|