(1) Das Institut muss ein integriertes System zur Identifizierung, Messung, Überwachung, Berichterstattung und Steuerung seines operationellen Risikos eingeführt haben.
(2) Die Geschäftsleiter müssen ein Rahmenwerk in Kraft gesetzt haben, welches die Grundsätze der Identifizierung, Messung, Überwachung, Berichterstattung und Steuerung des operationellen Risikos enthält und die diesbezüglichen Verantwortlichkeiten klar zuordnet.