Článek 4 2

a)

úkoly a povinnosti vyhrazené útvaru řízení rizik nejsou zajišťovány prostřednictvím outsourcingu;

b)

vrcholné vedení a vedoucí orgán se aktivně podílejí na dohledu nad veškerými úkoly, které instituce zadává prostřednictvím outsourcingu, a na pořizování veškerých IT nástrojů pro řízení rizik od třetích stran;

c)

instituce sama má dostatečné znalosti o všech úkolech, činnostech nebo funkcích zajišťovaných prostřednictvím outsourcingu a o struktuře všech údajů a metodik získaných od třetí strany a je schopna ověřit kvalitu práce prováděné třetí stranou, které zadává své úkoly prostřednictvím outsourcingu, jakož i výsledky této práce;

d)

interní audit a průběžné sledování jakýchkoli úkolů, činností a funkcí, které jsou zajišťovány prostřednictvím outsourcingu, ze strany instituce nejsou tímto outsourcingem omezeny nebo znemožněny;

e)

příslušným orgánům je umožněn plný přístup ke všem relevantním informacím.