Ett företag ska ha interna regler för sin hantering av operativa risker som anger
- 1.vilka operativa risker som företaget i huvudsak är exponerat för,
- 2.dels de metoder och processer som används för att identifiera, mäta och hantera operativa risker, inklusive de risker som följer av uppdragsavtal, som även tar hänsyn till sällan förekommande incidenter av allvarlig art, dels rutiner för att hantera risken för att metoderna kan ge felaktiga resultat, samt
- 3.företagets rutiner för att fastställa och övervaka riskaptiten och limiterna enligt 1 §.
Om företaget använder risköverföring i sin hantering av operativa risker, ska det ange principerna för detta i de interna reglerna.
Styrelsen ska besluta om de interna reglerna.
Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.
