Artikel 3 Organisationsstyrning

1.   Ledningsorganet ska se över riktlinjerna minst en gång om året och vid behov uppdatera dem. Ändringar av riktlinjerna ska genomföras i god tid och så snart det är möjligt inom ramen för de relevanta kontraktsmässiga arrangemangen. Den finansiella entiteten ska dokumentera den planerade tidsplanen för genomförandet.

2.   I riktlinjerna ska det fastställas eller hänvisas till en metod för att fastställa vilka IKT-tjänster som stöder kritiska eller viktiga funktioner. I riktlinjerna ska också anges när denna bedömning ska genomföras och ses över.

3.   I riktlinjerna ska det interna ansvaret för godkännande, förvaltning, kontroll och dokumentation av relevanta kontraktsmässiga arrangemang anges tydligt och det ska säkerställas att lämplig kompetens, erfarenhet och kunskap upprätthålls inom den finansiella entiteten för att effektivt övervaka de relevanta kontraktsmässiga arrangemangen, inbegripet de IKT-tjänster som tillhandahålls enligt dessa arrangemang.

4.   Utan att det påverkar den finansiella entitetens slutliga ansvar att effektivt övervaka relevanta kontraktsmässiga arrangemang, ska riktlinjerna kräva att tredjepartsleverantören av IKT-tjänster bedöms ha tillräckliga resurser för att säkerställa att den finansiella entiteten uppfyller alla lagstadgade krav avseende de IKT-tjänster som stöder kritiska eller viktiga funktioner som tillhandahålls.

5.   I riktlinjerna ska det tydligt anges vilken roll i eller vilken medlem av den högre ledningen som ansvarar för att övervaka de relevanta avtalsarrangemangen. Riktlinjerna ska ange hur den rollen i eller medlemmen av den högre ledningen ska samarbeta med kontrollfunktionerna och fastställas rapporteringsvägar till ledningsorganet, inbegripet vilken typ av information som ska rapporteras och vilka dokument som ska tillhandahållas. Det ska också anges hur ofta sådan rapportering ska ske.

6.   Riktlinjerna ska säkerställa att de kontraktsmässiga arrangemangen är förenliga med följande:

7.   Riktlinjerna ska omfatta krav på att IKT-tjänster som stöder kritiska eller viktiga funktioner och som tillhandahålls av tredjepartsleverantörer av IKT-tjänster är föremål för oberoende översyn och ingår i revisionsplanen.

8.   I riktlinjerna ska det uttryckligen anges att de kontraktsmässiga arrangemangen