委託先の確認は選ぶとき・契約するとき・委託中・終えるときの4つの時点で行います。委託先の事故も、利用者から見れば委託元の事故です（委託先管理）。
選ぶとき
- 第三者認証（ISMS・Pマークなど）の有無
- 多要素認証・ログ・更新管理などの対策状況
- 過去の事故と、その後の対応
- 再委託の有無と、再委託先の管理
契約するとき
- 安全管理の内容
- 事故の報告期限と協力
- 監査・報告を求める権利
- 終了時のデータの返却・削除
- 損害賠償の範囲（契約書）
委託中・終えるとき
- 年1回などの定期的な報告・チェックシート
- 預けるデータを最小限に
- 委託先が使う自社システムのアカウントの棚卸し
- 終了時のデータ削除の証明