1. Povinná osoba zavede a udržuje systém řízení operačního rizika, který je přiměřený povaze, rozsahu a složitosti činností a obsahuje alespoň

a) vymezení operačního rizika,

b) zásady a cíle řízení operačního rizika,

c) postupy řízení operačního rizika,

d) působnosti, pravomoci a informační toky při řízení operačního rizika na všech řídicích a organizačních úrovních,

e) informace o významných událostech a ztrátách vzniklých v důsledku operačního rizika,

f) míru akceptovaného operačního rizika a

g) způsob případného vyvedení operačního rizika mimo povinnou osobu.