(1) Das Institut muss über eine unabhängige zentrale Einheit für das Management operationeller Risiken verfügen. Diese Einheit ist für die Entwicklung der Strategien, Grundsätze und Verfahren der Identifizierung, Messung, Überwachung, Berichterstattung des operationellen Risikos sowie für die Entwicklung von Verfahren zur Steuerung des operationellen Risikos einschließlich erforderlicher Anpassungen verantwortlich und sorgt für deren Umsetzung und Anwendung. Sofern Teile dieser Aufgaben von dezentralen Stellen wahrgenommen werden, ist sicherzustellen, dass diese die Vorgaben der zentralen Einheit beachten.

(2) Das Institut muss in der zentralen Einheit für das Management der operationellen Risiken, in den wesentlichen institutsinternen Geschäftsfeldern und in der internen Revision über ausreichende Ressourcen verfügen, um seinen fortgeschrittenen Messansatz zu verwenden.