4. Avant qu’une entité assujettie ne sous-traite une tâche en vertu du paragraphe 1, elle s’assure que le prestataire de services est suffisamment qualifié pour exécuter les tâches à sous-traiter.
Lorsqu’une entité assujettie sous-traite une tâche en vertu du paragraphe 1, elle veille à ce que le prestataire de services, ainsi que tout prestataire de services d’une sous-traitance ultérieure, applique les politiques et procédures qu’elle a adoptées. Les conditions d’exécution de ces tâches sont définies dans un accord écrit conclu entre l’entité assujettie et le prestataire de services. L’entité assujettie effectue des contrôles réguliers pour s’assurer de la mise en œuvre effective de ces politiques et procédures par le prestataire de services. La fréquence de ces contrôles est déterminée en fonction du caractère critique des tâches sous-traitées.