(3) Entitatea financiară nu trebuie să se bazeze, în timp, numai pe certificările menționate la alineatul (2) litera (c) sau pe rapoartele de audit menționate la litera (d) de la alineatul respectiv. Politica permite utilizarea metodelor menționate la alineatul (2) literele (c) și (d) numai în cazul în care entitatea financiară:
|
(a)
|
este convinsă de planul de audit al furnizorului terț de servicii TIC pentru acordurile contractuale relevante;
|
|
(b)
|
se asigură că domeniul de aplicare al certificărilor sau al rapoartelor de audit acoperă sistemele și controalele-cheie identificate de aceasta și asigură conformitatea cu cerințele de reglementare relevante;
|
|
(c)
|
evaluează în detaliu și în permanență conținutul certificărilor sau al rapoartelor de audit și verifică dacă rapoartele sau certificările respective nu sunt caduce;
|
|
(d)
|
se asigură că sistemele și controalele-cheie sunt incluse în versiunile viitoare ale certificării sau ale raportului de audit;
|
|
(e)
|
este convinsă de aptitudinile părții care efectuează certificarea sau auditarea;
|
|
(f)
|
este convinsă de faptul că certificările sunt emise și auditurile sunt efectuate cu respectarea standardelor profesionale relevante recunoscute pe scară largă și includ un test al eficacității operaționale a controalelor-cheie instituite;
|
|
(g)
|
are dreptul contractual de a solicita, cu o frecvență rezonabilă și legitimă din perspectiva gestionării riscurilor, modificări ale domeniului de aplicare al certificărilor sau al rapoartelor de audit pentru a include alte sisteme și controale relevante;
|
|
(h)
|
are dreptul contractual de a efectua audituri individuale și grupate, după cum consideră oportun, cu privire la acordurile contractuale și de a exercita aceste drepturi cu frecvența convenită.
|