Search for a command to run...
Bekendtgørelse om systemrevisionens gennemførelse i operatører af finansiel digital infrastruktur m.fl.
I medfør af § 333 p og § 373, stk. 4, i lov om finansiel virksomhed, jf. lovbekendtgørelse nr. 650 af 6. september 2025 og § 180 h og § 255, stk. 1, i lov om kapitalmarkeder, jf. lovbekendtgørelse nr. 652 af 6. september 2025, fastsættes:
Bekendtgørelsen finder anvendelse for virksomheder, der er udpeget som operatører af finansiel digital infrastruktur i henhold til § 333, i lov om finansiel virksomhed.
I denne bekendtgørelse forstås ved systemrevision revision af følgende:
Generelle it-kontroller i virksomheden, herunder dennes ledelsessystem i relation til it-sikkerhed.
It-baserede brugersystemer, som operatører tilbyder de tilsluttede finansielle virksomheder, finansielle holdingvirksomheder, forsikringsholdingvirksomheder eller sådanne virksomheders dattervirksomheder.
It-systemer, der tilbydes til udveksling af data med de til operatørerne tilsluttede finansielle virksomheder, finansielle holdingvirksomheder, forsikringsholdingvirksomheder eller sådanne virksomheders dattervirksomheder samt andre operatører.
Stk. 2. I denne bekendtgørelse forstås ved system-, data- og driftssikkerhed følgende:
Systemsikkerhed er resultatet af de politikker, forretningsgange og kontroller, der skal sikre pålidelige systemer, herunder at systemer er dokumenteret, godkendt, testet og sikret mod uautoriseret ændring og adgang.
Datasikkerhed er resultatet af de politikker, forretningsgange og kontroller, der skal sikre en pålidelig og fortrolig registrering, opbevaring, beskyttelse og brug af data, samt at ændring, sletning, fysisk eller logisk adgang til eller brug af data er godkendt og dokumenteret.
It-systemer, der tilbydes til udveksling af data med de til operatørerne tilsluttede finansielle virksomheder, finansielle holdingvirksomheder, forsikringsholdingvirksomheder eller sådanne virksomheders dattervirksomheder samt andre operatører.
Stk. 3. Ved tilsluttede virksomheder forstås virksomheder, der er underlagt Finanstilsynets tilsyn, som en virksomhed, der er udpeget som operatør af finansiel digital infrastruktur, udfører væsentlig it-drift og it-udviklingsopgaver for.
Generalforsamlingen i operatører af finansiel digital infrastruktur efter § 1 skal vælge mindst én godkendt revisor (den eksterne systemrevision) til varetagelse af opgaverne i § 4, § 5, § 6, § 7, § 8. I operatører, hvor det øverste ledelsesorgan ikke er en generalforsamling, foretages valget af det øverste ledelsesorgan. Den enkelte eksterne systemrevisor skal udføre sine opgaver gennem en godkendt revisionsvirksomhed, jf. lov om godkendte revisorer og revisionsvirksomheder. Operatøren afholder omkostningerne ved systemrevisionen.
Stk. 2. Den eksterne systemrevision vælges for et år ad gangen. Ved nyvalg af revisor skal bestyrelsen sikre, at der senest en måned efter valget sker anmeldelse herom til Finanstilsynet. Ved revisorskifte skal virksomheden og afgående revisor senest 1 måned efter fratræden give Finanstilsynet hver sin redegørelse, hvis skiftet skyldes særlige forhold, jf. § 199, stk. 6, i lov om finansiel virksomhed.
Stk. 3. Bestemmelserne i lov om godkendte revisorer og revisionsvirksomheder om revisors funktionsperiode i virksomheder, der er underlagt tilsyn af Finanstilsynet, samt rapportering og uafhængighed, finder tilsvarende anvendelse for den eksterne systemrevision.
Stk. 4. Bestemmelserne i lov om aktie- og anpartsselskaber (selskabsloven) om bestyrelsens og direktionens pligt til at give revisor oplysninger, adgang til at foretage undersøgelser og sørge for, at revisor får de oplysninger og den bistand, som revisor anser for nødvendig for udførelsen af sit hverv, finder tilsvarende anvendelse for den eksterne systemrevision.
Stk. 5. Bestemmelserne i lov om aktie- og anpartsselskaber (selskabsloven) om revisors ret og pligt til at være til stede og til at besvare spørgsmål på et selskabs generalforsamling finder tilsvarende anvendelse for den eksterne systemrevision på en operatørs generalforsamling eller møde i den øverste myndighed.
Den eksterne systemrevision skal foretage den i § 2, stk. 1, nævnte systemrevision i overensstemmelse med god revisorskik, herunder påse
om betryggende kontrol- og sikringsforanstaltninger tilgodeses i tilstrækkeligt omfang ved udvikling, vedligeholdelse og drift af de af operatørens systemer, som har relation til de tilsluttede virksomheder, og
om de af operatørens forretningsgange, der har relation til tilsluttede virksomheder, er tilrettelagt og fungerer på betryggende vis.
Stk. 2. Den eksterne systemrevision skal medvirke til en koordineret systemrevisionsmæssig indsats med
revisionen i tilsluttede virksomheder, og
systemrevisionen i andre operatører, der er omfattet af denne bekendtgørelse.
Til brug for operatørens bestyrelse skal den eksterne systemrevision føre en særskilt systemrevisionsprotokol. Der skal i systemrevisionsprotokollen redegøres for den i årets løb udførte systemrevision, som kan danne grundlag for revisionsmæssige delkonklusioner. Systemrevisionsprotokollen skal fremlægges for bestyrelsen, og enhver protokoltilførsel skal underskrives af den samlede bestyrelse og systemrevisionschefen.
Stk. 2. Ved hvert kalenderårs afslutning skal der i et årsprotokollat redegøres for arten og omfanget af de udførte revisionsarbejder og konklusionen herpå. Årsprotokollatet skal i den forbindelse opfylde følgende:
Den eksterne systemrevision skal i årsprotokollatet opliste afgivne revisorerklæringer vedrørende systemrevision, som ikke er afgivet efter § 8, samt oplyse om indholdet af eventuelle modifikationer eller fremhævelse af forhold i disse. Er der ikke nogen revisorerklæringer at opliste, skal dette fremgå eksplicit af årsprotokollatet.
Den eksterne systemrevision skal i et særskilt afsnit i årsprotokollatet opsummere samtlige bemærkninger, som systemrevisionen har givet anledning til at fremføre over for bestyrelsen i systemrevisionsprotokollen. Opsummeringen skal indeholde en status vedrørende de bemærkninger, der er fremført vedrørende det pågældende år samt en status vedrørende de bemærkninger, der fremgik som åbenstående i årsprotokollatet vedrørende de foregående år. Opsummeringen kan indeholde henvisninger til bemærkninger i den revisionserklæring, der skal afgives i henhold til § 8. Såfremt der anvendes henvisninger til revisionserklæringen skal selve erklæringen forelægges for operatørens bestyrelse senest på det møde, hvor bestyrelsen behandler årsprotokollatet. I særskilt afsnit skal det tydeligt anføres, hvornår bestyrelsen enten har fået, eller får, forelagt selve erklæringen.
Den eksterne systemrevision skal i et særskilt afsnit i årsprotokollatet oplyse om udførelse af eventuelle assistance- eller rådgivningsopgaver inden for denne bekendtgørelses anvendelsesområde. Har der ikke været udført sådanne opgaver, skal dette fremgå eksplicit af årsprotokollatet.
Har operatøren en intern systemrevision, der opfylder bestemmelserne i § 10, § 11, § 12, § 13, § 14, § 15, § 16, kan den eksterne systemrevision aftale med systemrevisionschefen, jf. § 11, stk. 1, at oplistningen af revisorerklæringer efter § 5, stk. 2, nr. 1, samt opsummeringen efter § 5, stk. 2, nr. 2, alene fremgår af den interne systemrevisions årsprotokollat. Aftalen herom skal fremgå af systemrevisionsaftalen, jf. § 15.
Det skal i årsprotokollatet oplyses,
om den eksterne systemrevision opfylder lovgivningens krav til revisors uafhængighed, og
om den eksterne systemrevision har modtaget alle de oplysninger, der er anmodet om.
Stk. 2. I årsprotokollatet skal den eksterne systemrevision bekræfte, at den i § 8 nævnte erklæring er afgivet over for de tilsluttede virksomheder. Eventuelle modifikationer eller fremhævelse af forhold skal i denne forbindelse gengives i årsprotokollatet.
Stk. 3. I operatører, der har intern systemrevision, skal det i årsprotokollatet oplyses,
om de ifølge systemrevisionsaftalen, jf. § 15, aftalte opgaver er udført,
om den interne systemrevision fungerer tilfredsstillende, herunder hvorvidt den eksterne revision er blevet bekendt med forhold, der enkeltvis eller tilsammen afkræfter, at den interne revision fungerer uafhængigt af den daglige ledelse, og
om den eksterne systemrevision er enig i indholdet af alle de interne systemrevisions protokoltilførsler vedrørende kalenderåret, og såfremt dette ikke er tilfældet, hvori uenigheden består.
Stk. 4. Operatøren skal sende en kopi af den eksterne systemrevisions årsprotokollat til Finanstilsynet hvert år inden 15. februar sammen med kopi af den erklæring, der afgives efter § 8 samt en kopi af ledelsens redegørelse, jf. § 21.
Stk. 5. Erklæringer og oplysninger efter stk. 1-3 skal, hvis de afgives uden modifikationer, gengives efter bekendtgørelsens ordlyd.
Den eksterne systemrevision skal hvert år inden et med operatøren aftalt tidspunkt, jf. dog stk. 9, afgive erklæring om system-, data- og driftssikkerheden vedrørende det forudgående kalenderår til brug for de tilsluttede virksomheder.
Stk. 2. Erklæringen, jf. stk. 1, skal omfatte alle relevante forhold, herunder forhold i medfør af af-snit IX c, i lov om finansiel virksomhed.
Stk. 3. For hvert enkelt kontrolmål, som indgår i erklæringen efter stk. 1, skal der angives én af de følgende kategorier, som opsummering på om kontrolmålet er opfyldt betryggende:
Betryggende.
Betryggende, men behov for nogle forbedringer.
Ikke betryggende.
Stk. 4. Erklæringen, jf. stk. 1, skal indeholde en selvstændig oplistning af de kontroller, der er eller har været ineffektive.
Stk. 5. Konklusioner i erklæringen, jf. stk. 1, skal afgives ordret efter bekendtgørelsens bilag 1, hvis erklæringen afgives uden modifikationer. Erklæringen skal udformes efter reglerne om andre erklæringer med sikkerhed i bekendtgørelse om godkendte revisorers erklæringer.
Stk. 6. Det skal fremgå af erklæringens konklusion, hvorvidt den eksterne systemrevision vurderer, at operatørens samlede system-, data- og driftssikkerhed er og fungerer betryggende.
Stk. 7. Hvis den eksterne systemrevision er bekendt med forhold vedrørende operatørens generelle it-kontroller, it-baserede brugersystemer samt systemer til udveksling af data, som er i strid med lovgivningen vedrørende finansielle virksomheder, skal den eksterne systemrevision oplyse herom i et særskilt afsnit i erklæringen. Såfremt der ikke findes nogle af de nævnte forhold, skal dette ligeledes oplyses i særskilt afsnit.
Stk. 8. Erklæringen, jf. stk. 1, samt den interne systemrevisionschefs erklæring i henhold til § 9, skal af operatøren uden unødigt ophold efter deres afgivelse sendes til direktionen i de tilsluttede virksomheder. For koncerner kan operatøren, medmindre det vil stride mod bestemmelserne i om videregivelse af fortrolige oplysninger, aftale med moderselskabet, at erklæringerne alene sendes til moderselskabets direktion, der i så fald skal sikre, at relevante koncern-virksomheders direktioner modtager kopier.
Har operatøren en intern systemrevision, der opfylder bestemmelserne i §§ 10-16, skal den interne systemrevisionschef i et særskilt dokument, til brug for de tilsluttede virksomheder, erklære om denne er enig i den eksterne systemrevisions erklæring.
Stk. 2. Systemrevisionschefens erklæring skal indeholde en kort beskrivelse af den udførte systemrevision samt konklusionen herpå.
Stk. 3. Eventuelle modifikationer eller fremhævelse af forhold skal tydeligt fremgå af erklæringen.
Bestyrelsen i en operatør kan bestemme, at der skal oprettes en intern systemrevision, jf. dog stk. 2.
Stk. 2. Operatører, der varetager væsentlige it-driftsopgaver, herunder bogførings-, registrerings- og clearingsopgaver for pengeinstitutter, er forpligtet til at oprette en intern systemrevision.
Den interne systemrevision skal ledes af en systemrevisionschef. Ansættelse og afskedigelse af systemrevisionschefen kan alene foretages af operatørens bestyrelse.
Stk. 2. Systemrevisionschefen skal ved ansættelsen have deltaget i praktisk systemrevisionsarbejde i mindst 3 af de seneste 5 år.
Stk. 3. Bestyrelsen kan udpege en vicesystemrevisionschef som stedfortræder for systemrevisionschefen.
Stk. 4. Bestemmelserne i stk. 1 og 2 samt §§ 12 og 13 vedrørende systemrevisionschefen finder tilsvarende anvendelse på vicesystemrevisionschefer, herunder stedfortrædere.
Når en systemrevisionschef tiltræder, skal dette indberettes til Finanstilsynet senest 1 måned efter tiltrædelsen.
Stk. 2. Bestyrelsen skal ved indberetning til Finanstilsynet om ansættelse af systemrevisionschefen afgive en erklæring om, at systemrevisionschefen opfylder kravene efter § 11, stk. 2.
Stk. 3. Når en systemrevisionschef fratræder sin stilling, skal bestyrelsen og systemrevisionschefen senest 1 måned efter fratrædelsen sende hver sin redegørelse til Finanstilsynet om baggrunden her-for.
Systemrevisionschefen skal have adgang til alle oplysninger, som denne finder nødvendige for systemrevisionens gennemførelse, herunder bestyrelsesprotokollater.
Stk. 2. Systemrevisionschefen og medarbejderne i den interne systemrevision må ikke deltage i andet arbejde i operatøren end revision.
Stk. 3. Systemrevisionschefen og medarbejderne i den interne systemrevision skal være uafhængige. Systemrevisionen skal kunne rette henvendelse og rapportere direkte til bestyrelsen, uafhængigt af direktionen.
I operatører, der har en intern systemrevision, skal der foreligge en funktionsbeskrivelse, som er godkendt af bestyrelsen. Funktionsbeskrivelsen skal som minimum indeholde bestemmelser om følgende:
Den interne systemrevisions almindelige beføjelser, ansvar og arbejdsopgaver.
Medarbejdernes kvalifikationer.
Hvorledes og i hvilket omfang systemrevisionschefen og medarbejderne i den interne systemrevision sikres løbende efteruddannelse.
At ansættelse og afskedigelse af medarbejdere i den interne systemrevision skal foretages eller godkendes af systemrevisionschefen.
Den interne systemrevisions budget, herunder at dette godkendes af operatørens bestyrelse.
Oplysning om aftaler mellem operatørens ledelse og den interne systemrevision om udførelse af særlige revisionsopgaver, dog med undtagelse af engangsopgaver og opgaver af midlertidig karakter, som alene behøver at fremgå af den interne systemrevisionsprotokol, jf. § 17.
Stk. 2. De opgaver, der er nævnt i stk. 1, nr. 6, må ikke bevirke, at systemrevisionschefen kommer i en situation, hvor vedkommende erklærer sig eller oplyser om forhold eller dokumenter, som systemrevisionschefen eller ansatte i den interne systemrevision har udarbejdet grundlaget for.
Stk. 3. Den interne systemrevision skal fremlægge revisionsplanen for bestyrelsen, herunder alle it-revisioner og eventuelle væsentlige ændringer heraf. Revisionsplanen og dens gennemførelse, herunder art, omfang og hyppighed, skal afspejle og stå i et rimeligt forhold til de iboende it-risici i virksomheden og ajourføres regelmæssigt.
I operatører, der har en intern systemrevision, skal systemrevisionsarbejdet udføres i overensstemmelse med god revisorskik og i henhold til en systemrevisionsaftale mellem den eksterne systemrevision og systemrevisionschefen. Systemrevisionsaftalen skal som minimum indeholde følgende:
En overordnet beskrivelse af hvilke systemrevisionsopgaver der skal udføres, og hvilke af disse opgaver der påhviler henholdsvis den eksterne systemrevision og den interne systemrevision.
Retningslinjer for samarbejdet mellem den eksterne systemrevision og den interne systemrevision, herunder det arbejde den eksterne og interne systemrevision skal udføre i forbindelse med kontrol af systemrevisionsarbejdet.
En beskrivelse af hvordan, og i hvilket omfang, der udveksles oplysninger mellem den interne systemrevision og den eksterne systemrevision om den udførte systemrevision.
Retningslinjer for samarbejdet med
a) intern og ekstern revision i tilsluttede virksomheder, og
b) intern og ekstern systemrevision i andre operatører, der er omfattet af denne bekendtgørelse.
Intern systemrevision skal tage stilling til operatørens efterlevelse af Finanstilsynets tilsynsreaktioner ved at gennemgå og efterprøve relevant dokumentation.
Til brug for operatørens bestyrelse skal den interne systemrevision føre en systemrevisionsprotokol. Der skal i systemrevisionsprotokollen redegøres for den i årets løb udførte systemrevision, som kan danne grundlag for revisionsmæssige delkonklusioner. Systemrevisionsprotokollen skal fremlægges for bestyrelsen, og enhver protokoltilførsel skal underskrives af den samlede bestyrelse.
Stk. 2. Ved hvert kalenderårs afslutning skal der i et årsprotokollat redegøres for den udførte systemrevision samt konklusionen herpå. Årsprotokollatet skal i den forbindelse opfylde følgende:
Den interne systemrevision skal i årsprotokollatet opliste afgivne revisorerklæringer vedrørende systemrevision samt oplyse om indholdet af eventuelle modifikationer eller fremhævelse af forhold i disse. Er der ikke nogen revisorerklæringer at opliste, skal dette fremgå eksplicit af årsprotokollatet.
Den interne systemrevision skal i et særskilt afsnit i årsprotokollatet opsummere samtlige bemærkninger, som systemrevisionen har givet anledning til at fremføre over for bestyrelsen i systemrevisionsprotokollen. Opsummeringen skal indeholde en status vedrørende de bemærkninger, der er fremført vedrørende det pågældende år samt en status vedrørende de bemærkninger, der fremgik som åbenstående i protokollatet vedrørende det foregående år.
Den interne systemrevision skal i et særskilt afsnit i årsprotokollatet gengive en af virksomheden udarbejdet oversigt over samtlige tilsynsreaktioner, som Finanstilsynet har afgivet i regnskabsåret, tilsynsreaktioner, som Finanstilsynet har afgivet i foregående regnskabsår, men som endnu ikke er efterlevet på afslutningstidspunktet, og tilsynsreaktioner, som er efterlevet i regnskabsåret. Er der ikke afgivet tilsynsreaktioner i regnskabsåret, og er alle tilsynsreaktioner efterlevet ved udgangen af det foregående regnskabsår, skal dette ligeledes oplyses. Intern systemrevision skal gennemgå den af virksomheden udarbejdede oversigt og oplyse om bemærkninger hertil, herunder den interne systemrevisions stillingtagen til efterlevelsen af tilsynsreaktioner.
Systemrevisionschefen skal som minimum i et særskilt afsnit i årsprotokollatet bekræfte, at systemrevisionschefen ikke er kommet i en situation, hvor vedkommende erklærer sig eller oplyser om forhold eller dokumenter, som systemrevisionschefen eller ansatte i den interne systemrevision har udarbejdet grundlaget for, jf. § 14, stk. 2.
Den interne og eksterne systemrevision skal
have tilstrækkelig viden, faglige kompetencer og ekspertise inden for relevante områder, og løbende vedligeholde disse på et niveau, der er nødvendigt for at sikre, at der leveres en kvalificeret professionel ydelse baseret på en opdateret viden om den seneste udvikling inden for god revisorskik, lovgivning og metoder, og
sikre at art, omfang og hyppighed af revisionen står i et rimeligt forhold til de relevante it-risici.
Den interne og eksterne systemrevision skal påse, at Finanstilsynet straks modtager meddelelse, såfremt de
må formode, at operatørens samlede system-, data- og driftssikkerhed på områder omfattet af denne bekendtgørelse ikke er betryggende, eller
bliver bekendt med, at der i operatøren er opstået betydelige og længerevarende it-mæssige driftsproblemer vedrørende operatørens ydelser til de tilsluttede virksomheder.
Stk. 2. Ved vurderingen af, om der skal ske meddelelse til Finanstilsynet efter stk. 1, nr. 2, skal som minimum indgå
driftsproblemernes indvirkning på operatørens udveksling af data med andre operatører og den hermed forbundne databehandling, og
driftsproblemernes betydning for de tilsluttede virksomheders kortsigtede finansielle styring.
Stk. 3. Konstaterer den eksterne systemrevision eller den interne systemrevision forhold vedrørende en eller flere af de tilsluttede virksomheders it-anvendelse, der ikke er betryggende på områder, som er omfattet af operatørens ydelser til virksomheden, og dette vedrører forhold, som tilsluttede virksomheder må forventes normalt at tillægge betydning, når de træffer beslutninger om system-, data- og driftssikkerhed, skal vedkommende påse, at forholdet uden unødigt ophold meddeles skriftligt til den eller de pågældende virksomheders direktioner. Forholdet skal fremgå af den løbende systemrevisionsprotokol til operatørens bestyrelse, og det skal fremgå i et særskilt afsnit af intern eller ekstern systemrevisions årsprotokollat.
§ 74, stk. 1-3, i lov om finansiel virksomhed finder tilsvarende anvendelse for den eksterne systemrevisions og den interne systemrevisionschefs deltagelse i og rettigheder på bestyrelsesmøder.
Operatørens ledelse skal udarbejde en redegørelse, der på baggrund af ekstern systemrevisions erklæring, skal gøre den enkelte tilsluttede virksomhed i stand til at vurdere risici. Redegørelsen skal som minimum indeholde en beskrivelse af følgende:
Ledelsens vurdering af kontrolsvagheder og afledte risici for den enkelte tilsluttede virksomhed samt hvilke konsekvenser de identificerede kontrolsvagheder medfører enkeltvis og samlet.
Hvordan operatøren håndterer de identificerede kontrolsvagheder.
Hvilke kompenserende kontrol- og sikringsforanstaltninger den enkelte tilsluttede virksomhed kan implementere, til at imødegå de identificerede kontrolsvagheder.
Stk. 2. Baseret på den udførte systemrevision skal den eksterne systemrevision gennemlæse ledelsens redegørelse, og afgive en udtalelse om hvorvidt oplysningerne i ledelsens redegørelse er i overensstemmelse med den afgivne erklæring jf. § 8 samt minimumskravene i henhold til § 21, stk. 1.
Stk. 3. Redegørelse og udtalelse skal sendes til den enkelte tilsluttede virksomhed sammen med erklæringen, jf. § 8, stk. 1.
Fortrolige oplysninger, som den eksterne systemrevision, systemrevisionschefen og medarbejderne i systemrevisionsafdelingen modtager fra finansielle virksomheder, finansielle holdingvirksomheder, forsikringsholdingvirksomheder eller sådanne virksomheders dattervirksomheder i kraft af deres arbejde, er omfattet af § 117, stk. 1, i lov om finansiel virksomhed.
Finanstilsynet kan pålægge den eksterne systemrevision eller systemrevisionschefen samt dennes stedfortræder at give Finanstilsynet oplysninger om operatørens forhold.
Finanstilsynet kan dispensere fra bestemmelserne i denne bekendtgørelse.
Overtrædelse af § 3, stk. 1, 1-3 pkt., § 4, § 7, stk. 4, § 8 og § 9, § 10, stk. 2, § 11, stk. 1, 2 og 4, § 12, § 13, § 14, § 15, § 16 og § 17 samt § 21 straffes med bøde.
Stk. 2. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.
Bekendtgørelsen træder i kraft den 1. januar 2026.
Stk. 2. Bekendtgørelse nr. 1581 af 22. december 2022 om systemrevisionens gennemførelse i fælles datacentraler m.fl. ophæves.
Bekendtgørelsen gælder ikke for Grønland og Færøerne.
/ Adam Naji Dindler Al-Saffar
Bilag 1
Det følger af bekendtgørelsens § 4, at den eksterne systemrevision skal foretages i overensstemmelse med god revisorskik. God revisorskik indebærer blandt andet, at revisionen udføres i overensstemmelse med relevante revisionsstandarder og erklæringsstandarder. Heraf følger, at den eksterne systemrevisions erklæring til de tilsluttede virksomheder om system-, data- og driftssikkerheden, jf. bekendtgørelsens § 8, skal afgives i overensstemmelse med ISAE 3402 »Erklæringer med sikkerhed om kontroller hos en serviceleverandør«.
Finanstilsynet kan tillade anvendelse af en anden erklæringsstandard end ISAE 3402.
Hvis erklæringens konklusion kan afgives uden modifikationer, skal den have nedenstående ordlyd:
»Vores konklusion er udformet på grundlag af de forhold, der er redegjort for i denne erklæring. De kriterier, vi har anvendt ved udformningen af konklusionen, er de kriterier, der er beskrevet på side [xx].
Det er vores opfattelse, at:
a) beskrivelsen af de generelle it-kontroller med relevans for system-, data- og driftssikkerheden for operatørens tilsluttede virksomheder, således som de var udformet og implementeret i perioden [her angives den pågældende periode, jf. bekendtgørelsens § 8, stk. 9] i alle væsentlige henseender er retvisende, og
b) kontrollerne, som knytter sig til de kontrolmål, der er anført i beskrivelsen, i alle væsentlige henseender var hensigtsmæssigt udformet i hele perioden [her angives den pågældende periode, jf. bekendtgørelsens § 8, stk. 9]
c) de testede kontroller, som var de kontroller, der var nødvendige for at give høj grad af sikkerhed for, at kontrolmålene i beskrivelsen blev nået i alle væsentlige henseender, har fungeret effektivt i hele perioden [her angives den pågældende periode, jf. bekendtgørelsens § 8, stk. 9].
Som tillæg til ovennævnte skal vi i henhold til systemrevisionsbekendtgørelsens § 8 og baseret på a, b og c, erklære, at de generelle it-kontroller med relevans for operatørens tilsluttede virksomheders system-, data- og driftssikkerhed efter vores opfattelse er betryggende og har fungeret betryggende i perioden [her angives den pågældende periode, jf. bekendtgørelsens § 8, stk. 9]«.
Stk. 9. Den eksterne systemrevision skal afgive erklæringen, jf. stk. 1, vedrørende en periode, der tidligst slutter den 31. oktober i det pågældende kalenderår. Hvis der afgives erklæring vedrørende en anden periode end et kalenderår, skal den eksterne systemrevision ved årsskiftet tillige afgive supplerende erklæring til de tilsluttede virksomheder om, hvorvidt den samlede system-, data- og driftssikkerhed har været og fungeret betryggende i perioden frem til årsskiftet.
I årsprotokollatet skal det tillige oplyses, om den interne systemrevision har modtaget alle de oplysninger, der er anmodet om.
Stk. 3. Operatøren skal sende en kopi af den interne systemrevisions årsprotokollat til Finanstilsynet hvert år inden 15. februar sammen med kopi af den erklæring, der afgives efter § 9.
