Les entreprises assujetties dotent la fonction de gestion des risques de moyens suffisants en termes de personnel, de systèmes d'information et d'accès aux informations internes et externes nécessaires à l'exercice de ses fonctions.
Elles s'assurent que le personnel de la fonction de gestion des risques dispose de suffisamment d'expérience, de qualification et d'un positionnement adéquat pour exercer ses missions au sein de l'entreprise.