(2) Povinná osoba uvedená v § 2 odst. 1 písm. a) až d) a h) vypracuje ve lhůtě do 60 dnů ode dne, kdy se stala povinnou osobou, na základě hodnocení rizik podle § 21a a v rozsahu, ve kterém provádí činnosti podléhající působnosti tohoto zákona, písemně systém vnitřních zásad, postupů a kontrolních opatření k naplnění povinností stanovených tímto zákonem (dále jen „systém vnitřních zásad“). Součástí písemného systému vnitřních zásad je i písemné hodnocení rizik podle § 21a odst. 2. Systém vnitřních zásad včetně hodnocení rizik schvaluje statutární orgán povinné osoby. Povinná osoba systém vnitřních zásad průběžně aktualizuje.