Articolul 21
Art. 21 din NORMĂ nr. 4 din 28 februarie 2018 privind gestionarea riscurilor operaționale generate de sistemele informatice utilizate de entitățile autorizate/avizate/înregistrate, reglementate și/sau supravegheate de către Autoritatea de Supraveghere Financiară
- Capitolul IV Auditarea și testarea sistemelor informatice importante
- Secţiunea 1 Dispoziții privind auditul IT
(1) Entitățile au obligația de a audita sistemele informatice importante, după cum urmează:
a) entitățile încadrate în categoria de risc major au obligația de a audita IT extern sistemele informatice importante utilizate, cu periodicitate anuală, astfel încât perioada supusă auditului să fie un an calendaristic, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior;
b) entitățile încadrate în categoria de risc important au obligația de a audita IT extern sau cu resurse interne certificate sistemele informatice importante utilizate, o dată la 2 ani, astfel încât perioada supusă auditului să fie 2 ani calendaristici consecutivi, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior;
c) entitățile încadrate în categoria de risc mediu au obligația de a audita IT extern sau cu resurse interne certificate sistemele informatice importante utilizate, o dată la 3 ani, astfel încât perioada supusă auditului să fie 3 ani calendaristici consecutivi, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior;
d) entitățile încadrate în categoria de risc scăzut au obligația de a audita IT extern sau cu resurse interne certificate sistemele informatice importante utilizate, o dată la 4 ani, astfel încât perioada supusă auditului să fie 4 ani calendaristici consecutivi, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior.
(2) Perioada supusă auditului IT reprezintă perioada cuprinsă între două audituri succesive.
(3) În cazul entităților nou-înființate, primul audit se efectuează după expirarea perioadei supuse auditului, prevăzută la alin. (1) , după cum urmează:
a) în situația în care entitatea este autorizată/avizată/ înregistrată în primele 6 luni ale anului calendaristic, anul respectiv reprezintă primul an calendaristic al misiunilor de audit IT;
b) în situația în care entitatea este autorizată/ avizată/înregistrată în ultimele 6 luni ale anului calendaristic, primul an al misiunii de audit IT se calculează începând cu anul calendaristic următor celui în care a fost autorizată/avizată/ înregistrată, iar prima misiune de audit IT va viza și perioada rămasă până la sfârșitul anului calendaristic în care entitatea a fost autorizată/avizată/înregistrată.
(la 10-09-2021, Articolul 21 din Sectiunea 1, Capitolul IV a fost completat de )