Articolul 13
Drepturi de acces și de audit
Art. 13 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
(1) În vederea respectării obligațiilor prevăzute de prevederile legale, acordul de externalizare a serviciilor de tip cloud oferă posibilitatea ca societatea să exercite efectiv drepturile de acces, drepturile de audit și opțiunile de control asupra serviciilor de tip cloud.
(2) Societatea își exercită drepturile de acces și de audit, stabilește frecvența misiunilor de audit, precum și domeniile și serviciile care urmează să fie auditate, adoptând o abordare bazată pe riscuri în conformitate cu cerințele Normei nr. 35/2015.
(3) La stabilirea frecvenței și sferei de exercitare a drepturilor de acces sau de audit, societatea ține cont de cel puțin următoarele:
a) dacă externalizarea în cloud este asociată sau nu unei funcții sau activități operaționale critice sau semnificative;
b) de natura și amploarea riscului;
c) de impactul acordurilor de externalizare în cloud asupra societății.
(4) În situația în care, în urma exercitării drepturilor de acces, a drepturilor de audit sau ca urmare a utilizării anumitor tehnici de audit se creează un risc pentru mediul de afaceri al furnizorului de servicii de tip cloud și/sau pentru un alt client al acestuia, cum ar fi impactul asupra nivelului calității serviciilor, a disponibilității datelor sau a aspectelor de confidențialitate, societatea și furnizorul de servicii de tip cloud impun mecanisme de control specifice, care pot fi testate, astfel încât să fie asigurate modalități alternative de calitate a serviciilor.
(5) Fără a aduce atingere responsabilității finale a societăților cu privire la activitățile desfășurate de furnizorii de servicii de tip cloud, pentru a utiliza mai eficient resursele de audit și pentru a reduce dificultățile de ordin organizatoric pentru furnizorul de servicii de tip cloud și pentru clienții acestuia, se utilizează următoarele:
a) certificări de la terți și rapoarte de audit intern sau efectuate de terți, puse la dispoziție de furnizorul de servicii de tip cloud;
b) audituri centralizate cum ar fi auditurile organizate în comun cu alți clienți ai aceluiași furnizor de servicii de tip cloud sau audituri centralizate efectuate de un terț numit de aceștia.
(6) În cazul externalizării în cloud a unor funcții sau activități operaționale critice sau semnificative, societățile utilizează metoda menționată la alin. (5) lit. a) numai dacă acestea:
a) se asigură că obiectul certificării sau al raportului de audit acoperă sistemele, procesele, aplicațiile, infrastructura, centrele de date și mecanismele de control identificate și evaluează respectarea cerințelor de reglementare relevante;
b) evaluează temeinic și periodic conținutul noilor certificări sau rapoarte de audit și verifică caducitatea acestora;
c) se asigură că sistemele-cheie și mecanismele de control principale sunt incluse în viitoarele versiuni ale certificării sau ale raportului de audit;
d) sunt mulțumite de calitatea activității entității care realizează certificarea sau auditul cu privire la cel puțin următoarele aspecte ale dosarului de audit analizat:
(i) rotația entității de certificare sau de audit;
(ii) calificările și expertiza;
(iii) reefectuarea și/sau verificarea dovezilor.
(7) În vederea externalizării unor funcții operaționale critice sau semnificative către furnizori de servicii de tip cloud, societatea evaluează dacă certificările și rapoartele terților menționate la alin. (5) lit. a) sunt adecvate și suficiente pentru a respecta obligațiile prevederilor legale; societatea aplică o abordare bazată pe risc fără a se limita la aceste rapoarte și certificări de-a lungul timpului.
(8) Înainte de un control planificat la sediu, societatea, auditorul sau terții care acționează în numele societății, dacă nu este posibil să transmită o notificare prealabilă din cauza unei situații de urgență sau de criză, transmite/transmit într-un timp rezonabil un aviz care include cel puțin următoarele:
a) locația;
b) scopul controlului;
c) personalul care va efectua controlul.
(9) Având în vedere faptul că soluțiile de tip cloud au un nivel ridicat de complexitate tehnică, societatea verifică dacă personalul care efectuează auditul are aptitudinile și cunoștințele adecvate pentru a efectua audituri și/sau evaluări relevante; personalul poate fi din cadrul auditorilor săi interni, din grupul de auditori care acționează în numele său, din auditorii desemnați ai furnizorului de servicii de tip cloud sau, după caz, personalul care revizuiește certificarea realizată de o terță parte sau rapoartele de audit ale furnizorului de servicii.