Článek 21 3.

Členské státy zajistí, aby IZPP stanovily a uplatňovaly v písemné formě zásady týkající se řízení rizik, interního auditu a případně pojistněmatematických a externě zajišťovaných činností (outsourcing). Tyto zásady v písemné formě podléhají předchozímu schválení řídícím orgánem nebo dozorčím orgánem IZPP a musí být alespoň jednou za tři roky přezkoumány a upraveny s ohledem na jakoukoli významnou změnu v dotyčném systému nebo oblasti.