2. povinná osoba má řádně zdokumentovaný systém vyhodnocování a řízení operačního rizika s jasně stanovenými odpovědnostmi pro tento systém. Povinná osoba určuje míru podstupovaného operačního rizika a zaznamenává odpovídající údaje týkající se tohoto rizika, včetně údajů o událostech s významným dopadem. Tento systém podléhá pravidelnému nezávislému přezkoumávání;