「外部提供されるプロセス、製品及びサービス」の管理において、委託先の再評価の頻度はどのように定めるべきか。

委託先管理は、取り扱う情報の重要度やリスクに基づいて適切な頻度で行わなければならない。