(4) Povinná osoba vymezí vnitřní informační toky vůči řídicímu a kontrolnímu orgánu tak, aby jednoznačně pokrývaly řízení všech významných rizik, byly v souladu se zásadami povinné osoby pro řízení rizik a jeho uspořádáním⁵) a adekvátně zohledňovaly změny v rizikovém profilu povinné osoby nebo jejích zásadách a uspořádání řízení rizik.