(2) Az ellenőrzést végző csapat nyilvántartást vezet a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók által az (1) bekezdés a)–f) pontjának való megfelelés igazolására benyújtott dokumentációról.
Kivételes körülmények között a pénzügyi szervezetek olyan külső tesztelőket és fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókat is megbízhatnak, akik nem felelnek meg az (1) bekezdés a)–f) pontjában meghatározott egy vagy több követelménynek, feltéve, hogy az említett pénzügyi szervezetek olyan intézkedéseket fogadnak el, amelyek alkalmasak az említett pontoknak való meg nem feleléssel kapcsolatos kockázatok csökkentésére, és nyilvántartást vezetnek ezekről az intézkedésekről.