119. V § 21 se za odstavec 5 vkládají nové odstavce 6 a 7, které znějí:
„(6) Strategie a postupy vnitřní kontroly ke zmírňování a účinnému řízení rizik podle odstavce 1 zahrnují také
a) kontrolu dodržování právních předpisů povinnou osobou, prověřování zaměstnanců a osob činných pro povinnou osobu jinak než v základním pracovněprávním vztahu a prověřování účinnosti těchto strategií, postupů a komunikací; je-li to opodstatněno rozsahem a povahou činnosti povinné osoby, zřídí za účelem tohoto prověřování nezávislý útvar přímo podřízený statutárnímu orgánu povinné osoby, a
b) vnitřní oznamovací systém přiměřený rozsahu a povaze činnosti povinné osoby, který umožňuje zaměstnanci nebo fyzické osobě, která je pro povinnou osobu činná jinak než v základním pracovněprávním vztahu, anonymně podat oznámení o porušení tohoto zákona; oznamovatel nesmí být z důvodu podání oznámení vystaven odvetným opatřením.
(7) Povinné osoby, které jsou součástí skupiny, uplatňují skupinové strategie a postupy vnitřní kontroly ke zmírňování a účinnému řízení rizik podle odstavce 1, a to v rozsahu, který je v souladu s právním řádem České republiky. Tyto strategie a postupy povinné osoby rovněž uplatňují ve svých pobočkách a provozovnách a zajistí jejich uplatňování v dceřiných obchodních korporacích působících na území jiného členského státu Evropské unie, státu tvořícího Evropský hospodářský prostor nebo třetí země, a to v rozsahu, který právo daného státu umožňuje.“.
Dosavadní odstavce 6 až 9 se označují jako odstavce 8 až 11.