Articolul 9
Art. 9 din NORMĂ nr. 6 din 23 martie 2015 privind gestionarea riscurilor operaţionale generate de sistemele informatice utilizate de entităţile reglementate, autorizate/avizate şi/sau supravegheate de Autoritatea de Supraveghere Financiară
- Capitolul IV Auditarea şi testarea sistemului informatic
- Secţiunea 1 Auditul informatic
(1) Entitățile încadrate la categoria de risc major au obligația de a audita extern sistemul informatic utilizat, cu periodicitate anuală.
(2) Entitățile încadrate la categoria de risc important au obligația de a audita, extern sau cu resurse interne certificate, sistemul informatic utilizat, o dată la 2 ani.
(3) Entitățile încadrate la categoria de risc mediu au obligația de a audita, extern sau cu resurse interne certificate, sistemul informatic utilizat, o dată la 3 ani.
(4) Entitățile încadrate la categoria de risc scăzut au obligația de a audita, extern sau cu resurse interne certificate, sistemul informatic utilizat, o dată la 4 ani.
(5) A.S.F. este îndreptățită să instituie în sarcina entității obligația auditării externe a sistemului informatic pentru activitățile solicitate de către A.S.F. dacă:
a) în urma constatărilor rezultă că o entitate nu a desfășurat toate activitățile minime obligatorii categoriei de risc în care aceasta se încadrează, conform prevederilor art. 7, sau activitățile desfășurate au un caracter formal;
b) A.S.F. apreciază că se impune efectuarea unor investigații suplimentare ale sistemelor informatice.
(6) Instituirea de către A.S.F. a obligației de auditare a sistemului IT conform alin. (5) este însoțită de termenul până la care entitatea este obligată să transmită la A.S.F. raportul de audit, iar acest termen nu poate să depășească 90 de zile lucrătoare.
(7) Auditul extern se efectuează în baza unui contract încheiat între entitatea care a solicitat auditarea și unul dintre auditorii IT avizați de A.S.F. conform prevederilor art. 10 alin. (2). Entitățile nu pot contracta auditul IT cu același auditor IT pentru mai mult de 3 auditări obligatorii consecutive dintre cele prevăzute la alin. (1)-(4).
(8) Contractul de audit IT prevăzut la alin. (7) cuprinde în mod obligatoriu clauze cu privire la faptul că auditorul IT are obligația de a respecta cerințele necesare efectuării auditului sistemului informatic, în conformitate cu prevederile prezentei norme și cu bunele practici în domeniu.
(9) Contractul menționat la alin. (7) trebuie să conțină o clauză expresă prin care auditorul se obligă să notifice în scris A.S.F. în cel mai scurt timp posibil, dar nu mai târziu de 10 zile de la constatare, cu privire la orice fapt sau act în legătură cu sistemul informatic și de comunicații utilizat de entitate și care:
Partea introductivă a alin. (9) al art. 9 a fost modificată de pct. 7 al , publicată în MONITORUL OFICIAL nr. 1.040 din 23 decembrie 2016.
a) este de natură să afecteze continuitatea activității entității auditate;
b) poate conduce la o opinie de audit cu rezerve, la imposibilitatea exprimării unei opinii profesionale sau la o opinie negativă.
(10) Contractul prevăzut la alin. (7) trebuie să conțină o clauză expresă prin care, la solicitarea scrisă a A.S.F., auditorul se obligă să prezinte A.S.F. în maximum 10 zile de la solicitare:
Partea introductivă a alin. (10) al art. 9 a fost modificată de pct. 8 al , publicată în MONITORUL OFICIAL nr. 1.040 din 23 decembrie 2016.
a) orice raport sau document ce a fost adus la cunoștința entității auditate;
b) o declarație care să indice motivele de încetare a contractului de audit, indiferent de natura acestora;
c) orice alte informații sau documente solicitate în legătură cu activitatea de audit IT la care s-a angajat conform contractului.
(11) Respectarea prevederilor alin. (9) și (10) nu contravine dispozițiilor Codului privind conduita etică și profesională în domeniul auditului financiar, nu constituie o încălcare a niciunei restricții privind divulgarea de informații și nu va atrage niciun fel de răspundere asupra persoanei în cauză. Clauza de confidențialitate nu este opozabilă A.S.F.