Allo scopo di sfruttare le risorse interne disponibili a livello aziendale, il presente regolamento dovrebbe consentire il ricorso a soggetto incaricato dello svolgimento dei test interni ai fini dell’esecuzione del TLPT, a condizione che vi sia l’approvazione da parte delle autorità di vigilanza, che non vi sia alcun conflitto d’interessi e che vi sia un’alternanza periodica nel ricorso a soggetto incaricato dello svolgimento dei test interni ed esterni (ogni tre test), imponendo nel contempo che il fornitore di analisi delle minacce nel TLPT sia sempre esterno all’entità finanziaria. La responsabilità di condurre il TLPT dovrebbe rimanere interamente a carico dell’entità finanziaria. Le attestazioni fornite dalle autorità dovrebbero essere finalizzate esclusivamente al riconoscimento reciproco e non dovrebbero precludere eventuali azioni di follow-up necessarie per affrontare i rischi informatici a cui l’entità finanziaria è esposta, né dovrebbero essere considerati un avallo da parte delle autorità di vigilanza delle capacità di gestione e attenuazione dei rischi informatici di un’entità finanziaria.