Ett företag ska ha metoder för att identifiera och mäta sina operativa risker. Metoderna ska vara dokumenterade.
Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.

Markerat: texten lydelsen är läst ur.
Myndigheten kan ha bytt ut filen sedan den hämtades. Kontrollsumman är SHA-256 för den arkiverade filen, den som öppnas härifrån.
Varje textstycke i lydelsen är jämfört tecken för tecken mot det arkiverade dokumentet. Faller jämförelsen publiceras lydelsen inte.