A ocorrência de fraudes externas não se inclui como evento de risco operacional.

Os relatórios que incluem a identificação e correção tempestiva das deficiências de controle e de gerenciamento do risco operacional não precisam ser submetidos à diretoria das instituições, apenas ao conselho de administração.

A descrição da estrutura de gerenciamento do risco operacional deve ser evidenciada em relatório de acesso restrito aos integrantes da instituição.

A política de gerenciamento do risco operacional deve ser aprovada e revisada, no mínimo anualmente, pela diretoria e/ou conselho de administração das instituições.