Art. 3
Meccanismi di governance
In vigore dal 13 mar 2024
Meccanismi di governance
1. L’organo di gestione riesamina la politica almeno una volta all’anno e la aggiorna se necessario. Le modifiche apportate alla politica sono attuate in modo tempestivo e non appena possibile nell’ambito degli accordi contrattuali pertinenti. L’entità finanziaria documenta la tempistica prevista per l’attuazione.
2. La politica stabilisce o fa riferimento a una metodologia per determinare quali sono i servizi TIC a supporto di funzioni essenziali o importanti. La politica specifica inoltre quando tale valutazione deve essere condotta e riesaminata.
3. La politica assegna chiaramente le responsabilità interne per l’approvazione, la gestione, il controllo e la documentazione dei pertinenti accordi contrattuali e assicura che all’interno dell’entità finanziaria siano mantenute le competenze, l’esperienza e le conoscenze adeguate a supervisionare efficacemente i pertinenti accordi contrattuali, compresi i servizi TIC forniti nell’ambito di tali accordi.
4. Fatta salva la responsabilità finale dell’entità finanziaria di supervisionare efficacemente gli accordi contrattuali pertinenti, la politica impone di valutare se il fornitore terzo di servizi TIC dispone di risorse sufficienti a garantire il rispetto da parte dell’entità finanziaria di tutti i requisiti di natura legale e regolamentare relativi ai servizi TIC a supporto di funzioni essenziali o importanti che sono prestati.
5. La politica individua chiaramente il ruolo o il dirigente di rango elevato responsabile del monitoraggio degli accordi contrattuali pertinenti. La politica specifica le modalità di collaborazione tra il ruolo o il dirigente di rango elevato e le funzioni di controllo, salvo nel caso in cui ne faccia parte, e definisce le linee gerarchiche di comunicazione all’organo di gestione, compresi la natura delle informazioni da comunicare e i documenti da fornire. Essa stabilisce altresì la frequenza di tale comunicazione.
6. La politica garantisce che gli accordi contrattuali siano coerenti con:
a)
il quadro per la gestione dei rischi informatici di cui all’ del regolamento (UE) 2022/2554;
b)
la politica di sicurezza dell’informazione di cui all’, paragrafo 4, del regolamento (UE) 2022/2554;
c)
la politica di continuità operativa delle TIC di cui all’ del regolamento (UE) 2022/2554;
d)
gli obblighi di segnalazione degli incidenti di cui all’articolo 19 del regolamento (UE) 2022/2554.
7. La politica impone che i servizi TIC a supporto di funzioni essenziali o importanti prestati da fornitori terzi di servizi TIC siano soggetti a un riesame indipendente e siano inclusi nel piano di audit.
8. La politica specifica esplicitamente che gli accordi contrattuali:
a)
non sollevano l’entità finanziaria e il suo organo di gestione dagli obblighi regolamentari e dalle responsabilità nei confronti dei clienti;
b)
non devono impedire l’efficace vigilanza dell’entità finanziaria e non devono contravvenire a eventuali restrizioni di vigilanza sui servizi e sulle attività;
c)
devono prescrivere che i fornitori terzi di servizi TIC collaborino con le autorità competenti;
d)
devono prescrivere che l’entità finanziaria, i suoi revisori e le autorità competenti abbiano effettivo accesso ai dati e ai locali connessi all’utilizzo dei servizi TIC a supporto di funzioni essenziali o importanti.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_del:2024:1773:oj#art-3