(2) Instituce při hodnocení rizik zohlední alespoň takový rozsah a druhy zdrojů informací, které zajistí, že hodnocení rizik skutečně vypovídá o reálných rizicích spojených s činností instituce.