Det bör finnas en samlad funktion i företaget för självständig riskkontroll. Funktionen bör informera styrelse, ledning och i övrigt dem som har behov av informationen.
Informationen bör ge en allsidig och saklig bild av företagets risker samt innehålla analyser av utvecklingen av riskerna. Funktionen bör också föreslå de ändringar i styrdokument och processer som funktionens iakttagelser om riskhanteringen ger anledning till.
Funktionen bör vara underställd den verkställande direktören. Den kan även vara placerad under en annan ledande befattningshavare med goda kunskaper om företagets risker, som är direkt underställd den verkställande direktören. Denna person ska dock inte ha ansvar för den dagliga affärsverksamheten .
Funktionen bör ha tillräckliga resurser för sina uppgifter. Uppgifterna bör inte utföras av befattningshavare som arbetar med den dagliga affärsverksamheten.
