Artikel 21 3.

Medlemsstaterne sikrer, at IORP'er fastlægger og anvender skriftlige politikker vedrørende risikostyring, intern audit og, hvis det er relevant, aktuarmæssige og outsourcede aktiviteter. De skriftlige politikker skal på forhånd godkendes af IORP'ens ledelses- eller tilsynsorgan og tages mindst hvert tredje år op til revision og tilpasses i forhold til eventuelle betydelige ændringer i det pågældende system eller område.