a)

Ein Institut verfügt über ein gut dokumentiertes System für die Bewertung und Steuerung des operationellen Risikos und weist die Zuständigkeiten und Verantwortung für dieses System klar zu. Es ermittelt seine Gefährdung durch operationelle Risiken und sammelt die relevanten Daten zum operationellen Risiko, einschließlich der Daten zu wesentlichen Verlusten. Das System unterliegt einer regelmäßigen unabhängigen Überprüfung durch eine interne oder externe Stelle, die die dafür erforderlichen Kenntnisse besitzt;

b)

das System zur Bewertung des operationellen Risikos des Instituts ist eng in die Risikomanagementprozesse des Instituts eingebunden. Seine Ergebnisse sind fester Bestandteil der Prozesse für die Überwachung und Kontrolle des operationellen Risikoprofils des Instituts;

c)

ein Institut führt ein System zur Berichterstattung an die Geschäftsleitung ein, damit den maßgeblichen Funktionen innerhalb des Instituts über das operationelle Risiko berichtet wird. Ein Institut verfügt über Verfahren, um entsprechend den in den Berichten an das Management enthaltenen Informationen geeignete Maßnahmen ergreifen zu können.