4. Prije nego što obveznik eksternalizira zadaću na temelju stavka 1., on utvrđuje da je pružatelj usluga dovoljno kvalificiran za obavljanje zadaća koje će se eksternalizirati.
Ako obveznik eksternalizira zadaću na temelju stavka 1., on osigurava da pružatelj usluga te svi oni kojima taj pružatelj usluga podeksternalizira zadaće primjenjuju politike i postupke koje je donio obveznik. Uvjeti za obavljanje takvih zadaća utvrđuju se u pisanom sporazumu između obveznika i pružatelja usluga. Obveznik provodi redovite kontrole kako bi se uvjerio da pružatelj usluga djelotvorno provodi takve politike i postupke. Učestalost takvih kontrola utvrđuje se na temelju važnosti eksternaliziranih zadaća.