Článok 28 5.

Finančné subjekty uvedené v odseku 1 zabezpečia, aby ich zjednodušený rámec riadenia IKT rizika podliehal vnútornému auditu vykonávanému audítormi v súlade s plánom auditu finančných subjektov. Audítori musia mať dostatočné znalosti, zručnosti a odborné znalosti v oblasti IKT rizika a musia byť nezávislí. Frekvencia a zameranie auditov IKT musia zodpovedať IKT riziku daného finančného subjektu.