Ett företag ska fastställa en riskaptit för sina operativa risker. Inom ramen för riskaptiten ska företaget även ha limiter för sina operativa risker.
Företaget ska när det fastställer limiter utgå från produkter, tjänster, funktioner, processer och it-system. Limiterna ska kunna vara mätbara genom kvalitativa eller kvantitativa mått. Företaget ska dokumentera riskaptiten och limiterna.
Styrelsen ska besluta om och regelbundet utvärdera och uppdatera riskaptiten för operativa risker om det behövs. Den verkställande direktören ska besluta om och regelbundet utvärdera och uppdatera limiterna för de operativa riskerna om det behövs.
