2. Les entités financières qui font appel à des prestataires tiers de services TIC qui sous-traitent des services TIC soutenant des fonctions critiques ou importantes ou des parties significatives de celles-ci effectuent périodiquement l’évaluation des risques visée au paragraphe 1, points f) à j), à l’aune d’éventuels changements dans leur environnement d’entreprise, y compris les changements dans les fonctions «métiers» s’appuyant sur les TIC, ainsi que dans leurs évaluations des risques, y compris les menaces liées aux TIC, les risques de concentration des TIC et les risques géopolitiques.