2. Het control team houdt de door de testers en de aanbieders van dreigingsinformatie overgelegde documentatie bij zodat kan worden aangetoond dat is voldaan aan het bepaalde in lid 1, punten a) tot en met f).
In uitzonderlijke omstandigheden kunnen financiële entiteiten externe testers en aanbieders van dreigingsinformatie inhuren die niet voldoen aan een of meer van de in lid 1, punten a) tot en met f), vastgestelde vereisten, op voorwaarde dat die financiële entiteiten passende maatregelen nemen om de aan de niet-naleving van die punten verbonden risico’s te mitigeren, en die maatregelen te documenteren.