(1) Bei der Bestimmung des Anrechnungsbetrags für das operationelle Risiko müssen relevante externe Daten verwendet werden. Dabei dürfen nur Daten verwendet werden, die nicht personenbezogen oder, soweit personenbezogen, anonymisiert sind.
(2) Ein Institut muss in einem systematischen Prozess solche Situationen bestimmen, in denen externe Daten genutzt werden, sowie Methoden festlegen, wie diese Daten in das Messsystem einbezogen werden. Die Bedingungen und Verfahren zur Nutzung externer Daten müssen dokumentiert, bei Bedarf angepasst und regelmäßig von einer unabhängigen Stelle überprüft werden.