(2) Instituce se sídlem v České republice určí v písemné formě a uplatňuje zásady týkající se řízení rizik, interního auditu a případně pojistně matematické činnosti. Tyto zásady podléhají předchozímu schválení řídícím orgánem nebo dozorčím orgánem instituce se sídlem v České republice a musí být alespoň jednou za 3 roky přezkoumány a upraveny s ohledem na významné změny v dotyčném systému nebo oblasti.