Artykuł 4 2

a)

zadania i obowiązki zastrzeżone dla jednostki do spraw kontroli ryzyka nie podlegają outsourcingowi;

b)

kadra kierownicza wyższego szczebla i organ zarządzający biorą czynny udział w sprawowaniu nadzoru nad wszelkimi zadaniami zlecanymi przez instytucję na zasadzie outsourcingu i w procesie pozyskiwania od osób trzecich jakichkolwiek narzędzi informatycznych w zakresie zarządzania ryzykiem;

c)

sama instytucja dysponuje wystarczającą wiedzą na temat wszystkich zadań, działań lub funkcji zlecanych na zasadzie outsourcingu i na temat struktury wszelkich danych i metod pozyskiwanych od osób trzecich i czy jest w stanie zweryfikować jakość pracy wykonywanej przez osobę trzecią, której zlecono wykonywanie określonych zadań na zasadzie outsourcingu, a także ocenić rezultaty tej pracy;

d)

możliwość przeprowadzania audytu wewnętrznego przez instytucję i bieżącego monitorowania przez nią wszelkich zadań, działań i funkcji zlecanych na zasadzie outsourcingu nie podlega ograniczeniu ani nie jest utrudniania wskutek tego outsourcingu;

e)

właściwe organy mają zapewniony pełny dostęp do wszystkich istotnych informacji.