1. L'impresa madre assicura che gli obblighi e requisiti in materia di procedure interne, valutazione del rischio e personale di cui alla sezione 1 del presente capo si applichino in tutte le succursali e filiazioni del gruppo negli Stati membri e, per i gruppi la cui sede centrale è situata nell'Unione, in paesi terzi. A tal fine, l'impresa madre svolge una valutazione del rischio a livello di gruppo, tenendo conto della valutazione del rischio per l'intera attività svolta da tutte le succursali e filiazioni del gruppo, e stabilisce e mette in atto politiche, procedure e controlli a livello di gruppo, comprese sulla protezione dei dati e sulla condivisione delle informazioni per garantire che i dipendenti all'interno del gruppo siano a conoscenza degli obblighi derivanti dal presente regolamento. I soggetti obbligati all'interno del gruppo mettono in atto tali politiche, procedure e controlli a livello di gruppo, tenendo conto delle rispettive specificità e dei rischi a cui sono esposti.
Le politiche, le procedure e i controlli a livello di gruppo e le valutazioni del rischio a livello di gruppo di cui al primo comma comprendono tutti gli elementi elencati agli articoli 9 e 10, rispettivamente.
Ai fini del primo comma, qualora un gruppo abbia stabilimenti in più di uno Stato membro e, per i gruppi la cui sede centrale è situata nell'Unione, in paesi terzi, l'impresa madre tiene conto delle informazioni pubblicate dalle autorità di tutti gli Stati membri o dei paesi terzi in cui sono ubicati tali stabilimenti del gruppo.