Article considérant 9

(9) Afin que les risques susceptibles de survenir soient identifiés avant qu’une entité financière ne conclue un accord avec un sous-traitant de TIC, le prestataire tiers de services TIC devrait évaluer, de manière appropriée et proportionnée, l’aptitude des sous-traitants potentiels sur la base des accords contractuels de services TIC qu’il a conclus avec l’entité financière. Ces accords contractuels de services TIC devraient donc exiger du prestataire tiers de services TIC, ou de l’entité financière directement, selon le cas, qu’il ou elle évalue les ressources du sous-traitant potentiel, y compris son expertise et le fait qu’il dispose ou non des ressources financières, humaines et techniques appropriées, sa politique de sécurité de l’information et sa structure organisationnelle, y compris la gestion des risques et les contrôles internes qu’il devrait avoir mis en place.