Ordinul nr. 553/2019 privind reglementarea procedurii de avizare a instrumentelor de plata electronica cu acces la distanta

c) dovada detinerii uneia dintre certificarile profesionale specifice domeniului de audit al sistemelor informatice, mentionate in anexa nr. 5 (certificatul de auditor, in copie semnata si cu mentiunea "Conform cu originalul");
d) dovada experientei in audit IT, concretizata in participarea la minimum cinci misiuni de audit in domeniul securitatii sistemelor informatice apartinand prestatorilor de servicii de plata, cu un total de cel putin 30 de zile;
e) certificat constatator emis de Oficiul National al Registrului Comertului, cu starea la zi a persoanei juridice, nu mai vechi de 30 de zile, in original;
f) certificatul de cazier judiciar si certificatul de cazier fiscal, aflate in termenul de valabilitate, in original;
g) contractul de asigurare de raspundere civila profesionala a auditorului IT, pentru suma asigurata de minimum 100.000 euro, valabil la data depunerii documentatiei, in copie semnata si cu mentiunea "Conform cu originalul".

Articolul 16
Inscrierea auditorului IT in Lista auditorilor IT sau transmiterea refuzului motivat al inscrierii se efectueaza de MCSI in termen de maximum 30 de zile de la primirea dosarului complet al solicitantului.

Articolul 17
Orice modificare a documentatiei prevazute la art. 15 trebuie transmisa catre MCSI in termen de maximum 30 de zile de la data efectuarii modificarii.

Articolul 18
Radierea auditorilor IT din lista prevazuta la art. 12 se va efectua in oricare dintre urmatoarele situatii:
a) la cererea acestora;
b) in cazul lichidarii sau la declansarea insolventei;
c) in cazul nerespectarii prevederilor prezentului ordin;
d) la expirarea contractului de asigurare de raspundere civila profesionala;
e) la expirarea certificarii profesionale.

Articolul 19
MCSI va transmite auditorului IT o notificare prealabila prin care i se aduc la cunostinta motivele pentru care se va proceda la initierea demersurilor pentru radierea din Lista auditorilor IT.

CAPITOLUL IV
Conditii privind desfasurarea auditului IT

Articolul 20
(1) Auditarea se va efectua in baza unui contract incheiat intre prestatorul care a solicitat auditarea si un auditor inscris in Lista auditorilor IT.
(2) Prestatorul nu poate contracta auditarea cu acelasi auditor IT pentru mai mult de 2 auditari consecutive.
(3) Prestatorul are obligatia de a se asigura ca in contractul de auditare sunt cuprinse in mod obligatoriu clauze cu privire la faptul ca auditorul IT trebuie sa respecte cerintele impuse pentru efectuarea auditului sistemelor informatice, in conformitate cu prevederile prezentului ordin si cu bunele practici in domeniu .
(4) Activitatea de auditare trebuie sa respecte conduita etica si profesionala, nu presupune incalcarea secretului profesional impus prin clauze contractuale sau prin prevederi legale si nu atrage niciun fel de raspundere asupra persoanei fizice si/sau juridice in cauza ca urmare a respectarii prevederilor prezentului ordin .

Articolul 21
Perioada supusa auditarii reprezinta perioada cuprinsa intre doua auditari consecutive.

Articolul 22
Pe timpul auditarii, auditorul IT are obligatia de a analiza situatia deficientelor si vulnerabilitatilor identificate, intocmita cu ocazia auditarii precedente, precum si masurile intreprinse de catre prestator.

Articolul 23
Auditorul IT notifica MCSI, in scris, in maximum 10 zile de la constatare, orice fapt sau act care:
a) este de natura sa afecteze utilizarea in siguranta a instrumentului financiar de plata electronica cu acces la distanta;
b) poate conduce la o opinie de audit cu rezerve, negativa sau imposibilitatea exprimarii acesteia.

Articolul 24
In termen de maximum 10 zile de la solicitarea scrisa a MCSI, auditorul IT trebuie sa comunice urmatoarele, fara a se limita la acestea:
a) orice raport sau document care a fost adus la cunostinta prestatorului auditat;
b) motivatia de incetare a contractului de audit, daca aceasta a avut loc inainte de finalizarea auditarii.

Articolul 25
La finalizarea auditarii, auditorii IT au obligatia de a intocmi un raport de audit IT, care sa cuprinda cel putin elementele enumerate in raportul de audit prevazut in anexa nr. 3, dar fara a se limita la acestea.

Articolul 26
Pentru cazurile in care sistemul informatic si platforma/aplicatia software utilizate in procesul de furnizare a instrumentului financiar de plata electronica cu acces la distanta sunt situate in afara tarii, auditarea sistemului se va face astfel:
- auditorul IT extern roman va audita sistemele din strainatate; sau
- auditorul IT extern roman agreeaza auditarea sistemului din strainatate de catre un auditor cu o certificare cuprinsa in lista certificarilor mentionate in anexa nr. 5 si preia responsabilitatea auditarii.

Articolul 27
MCSI poate verifica derularea procesului de auditare, atat prin participarea la activitatea de auditare a auditorului IT, cat si prin prisma discutiilor legate de dosarul de audit .

CAPITOLUL V
Cerinte aplicabile furnizorilor de servicii IT externalizate pentru sistemele informatice ale prestatorului

Articolul 28
Orice externalizare de servicii IT se realizeaza cu respectarea legislatiei nationale aplicabile Prestatorului.

Articolul 29