Artigo 9.o Monitorização dos acordos contratuais

1.   A política deve exigir que os acordos contratuais especifiquem as medidas e os indicadores-chave a monitorizar, de forma contínua, o desempenho dos terceiros prestadores de serviços de TIC, incluindo medidas para fiscalizar o cumprimento dos requisitos em matéria de confidencialidade, disponibilidade, integridade e autenticidade dos dados e das informações, bem como a conformidade dos terceiros prestadores de serviços de TIC com as políticas e procedimentos relevantes da entidade financeira. A política deve também especificar as medidas aplicáveis quando os acordos de nível de serviço não são cumpridos, incluindo, se for caso disso, sanções contratuais.

2.   A política deve especificar a forma como a entidade financeira deve avaliar se os terceiros prestadores de serviços de TIC utilizados para os serviços de TIC de apoio a funções críticas ou importantes cumprem normas de desempenho e qualidade adequadas, em conformidade com o acordo contratual e as políticas da entidade financeira. A política deve, em especial, assegurar que:

3.   A política deve especificar que a avaliação a que se refere o n.o 2 deve ser documentada e os seus resultados devem ser utilizados para atualizar a avaliação de risco da entidade financeira a que se refere o artigo 6.o.

4.   A política deve estabelecer as medidas adequadas que a entidade financeira deve adotar se identificar deficiências na prestação dos serviços de TIC de apoio a funções críticas ou importantes ou no cumprimento de acordos contratuais ou obrigações legais por parte dos terceiros prestadores de serviços de TIC, incluindo incidentes relacionados com as TIC e incidentes operacionais ou de segurança relacionados com pagamentos. Deve igualmente especificar a forma como a aplicação dessas medidas deve ser fiscalizada, a fim de assegurar que sejam efetivamente cumpridas num prazo definido, tendo em conta a importância das deficiências.