2. Povinná osoba má takový systém řízení rizika outsourcingu, který je přiměřený povaze, rozsahu a složitosti činností, které outsourcuje nebo hodlá outsourcovat, a který podchytí a zohlední všechny významné zdroje rizika outsourcingu a omezí jejich možný nepříznivý dopad na výnosy a náklady povinné osoby a její celkový rizikový profil. Za tímto účelem zavede a udržuje tyto zásady a postupy.