על הדירקטוריון לקבוע מדיניות מקיפה בנושא מיקור-חוץ בתחומי הליבה בגוף המוסדי, לרבות לעניין ניהול הפעילויות והתהליכים המבוצעים במסגרת זו ופיקוח עליהם. הגוף המוסדי יפעל בהתאם למדיניות האמורה ויגבש מסגרת פעולה מוכוונת סיכונים לניהול תהליכי מיקור-חוץ, בין היתר בהתאם לאמור בסעיף 3.9 לחוזר 2006-9-6, הוראה לניהול סיכוני אבטחת מידע של הגופים המוסדיים (להלן – חוזר אבטחת מידע); ראו פירוט בפעולות:

הגוף המוסדי נדרש לעגן את ההוראות האמורות בכל התקשרות שלו עם ספק שירות לקבלת שירותים במיקור-חוץ