Artykuł 3

1. Wdrażanie środków bezpieczeństwa, o których mowa w art. 1, jest dokumentowane, okresowo badane, poddawane ocenie i audytowi zgodnie z mającymi zastosowanie ramami prawnymi właściwymi dla dostawcy usług płatniczych przez audytorów posiadających wiedzę ekspercką w dziedzinie bezpieczeństwa informatycznego i płatności elektronicznych, którzy działają niezależnie w ramach podmiotu będącego dostawcą usług płatniczych lub jako odrębny podmiot.

2. Okres między audytami, o których mowa w ust. 1, określa się z uwzględnieniem istotnych ram księgowania i badań ustawowych mających zastosowanie do dostawcy usług płatniczych.

Dostawcy usług płatniczych korzystający z wyłączenia, o którym mowa w art. 18, podlegają jednak audytowi metodyki, modelu i zgłoszonych wskaźników oszustw przeprowadzanemu co najmniej raz w roku. Audytor prowadzący przedmiotowy audyt musi posiadać wiedzę ekspercką w zakresie bezpieczeństwa informatycznego i płatności elektronicznych oraz działać niezależnie w ramach podmiotu będącego dostawcą usług płatniczych lub jako odrębny podmiot. W trakcie pierwszego roku stosowania wyłączenia na podstawie art. 18, a następnie co najmniej co trzy lata lub – na wniosek właściwego organu – częściej, przedmiotowy audyt przeprowadza niezależny i uprawniony audytor zewnętrzny.

3. W wyniku wspomnianego audytu przedstawia się ocenę i sprawozdanie w zakresie zgodności środków bezpieczeństwa stosowanych przez dostawcę usług płatniczych z wymogami określonymi w niniejszym rozporządzeniu.

Kompletne sprawozdanie udostępnia się właściwym organom na ich wniosek.