Les entreprises d'assurance et de réassurance disposent de politiques écrites concernant au moins leur gestion des risques, leur contrôle interne, leur audit interne et, le cas échéant, la sous-traitance. Elles veillent à ce que ces politiques soient mises en œuvre.
Ces politiques écrites sont réexaminées au mois une fois par an. Elles sont soumises à l'approbation préalable de l'organe d'administration, de gestion ou de contrôle et elles sont adaptées compte tenu de tout changement important affectant le système ou le domaine concerné.