Articolul 4 2

(a)

sarcinile și responsabilitățile rezervate unității de control al riscului nu sunt externalizate;

(b)

conducerea superioară și organul de conducere sunt implicate în mod activ în supravegherea oricăror sarcini externalizate de instituție și în achiziționarea oricăror soluții de instrumente informatice de gestionare a riscurilor de la părți terțe;

(c)

instituția deține suficiente informații cu privire la orice sarcină, activitate sau funcție externalizată și cu privire la structura oricăror date și metodologii obținute de la o parte terță și este în măsură să verifice calitatea activității desfășurate de partea terță căreia îi externalizează sarcinile, precum și rezultatele activității respective;

(d)

auditul intern și monitorizarea continuă de către instituție a oricăror sarcini, activități și funcții externalizate nu sunt limitate sau împiedicate de o astfel de externalizare;

(e)

autorităților competente li se acordă acces deplin la toate informațiile relevante.