I verksamhetsplanen ska det finnas uppgifter om hur it-verksamheten ska vara organiserad. Det ska finnas en översiktlig beskrivning av vilka system som finns samt av systemens funktioner och användningsområden.
Ett fondbolag ska även se till att det framgår vilka åtgärder som det ska vidta när det gäller informationssäkerhet och fysisk säkerhet. Det ska särskilt anges vilka åtgärder företaget ska vidta för att följa de bestämmelser i Dora-förordningen som inte omnämns i 11 § tredje stycket. Bolaget ska i sammanhanget redogöra för vilka funktioner för sekretesskydd det använder för att hindra obehöriga att ta del av sekretessbelagd information. Bolaget ska också lämna uppgifter om huruvida det delar lokaler och teknisk utrustning med andra, och, i förekommande fall, hur det avser att hantera sekretessfrågor med anledning av detta.
