1. Les entités financières désignent un chef pour l’équipe chargée du contrôle, auquel incombe la responsabilité de la gestion journalière du TIFM ainsi que des décisions et actions de l’équipe chargée du contrôle.
2. Les entités financières établissent des mesures organisationnelles et procédurales pour faire en sorte que:
a) l’accès aux informations relatives à tout TIFM prévu ou en cours soit réservé, sur la base du besoin d’en connaître, à l’équipe chargée du contrôle, à l’organe de direction, aux testeurs, au fournisseur de renseignements sur les menaces et à l’autorité TIFM;
b) l’équipe chargée du contrôle consulte les gestionnaires de test avant d’associer tout membre de l’équipe bleue à un TIFM;
c) l’équipe chargée du contrôle soit informée de toute détection du TIFM par des membres du personnel de l’entité financière ou de ses prestataires tiers de services; en cas de remontée de la réponse à l’incident qui en résulte, si nécessaire, l’équipe chargée du contrôle bloque cette remontée;
d) des dispositions relatives à la confidentialité du TIFM, applicables au personnel de l’entité financière, au personnel des prestataires tiers de services TIC concernés, aux testeurs et au fournisseur de renseignements sur les menaces, soient en place;
e) sur demande, l’équipe chargée du contrôle fournisse aux gestionnaires de test toutes les informations relatives au TIFM;
f) dans la mesure du possible, les parties impliquées dans le TIFM ne fassent référence à ce dernier que par son nom de code.