1. Les États membres exigent des entreprises d'investissement qu'elles prennent les mesures suivantes:
a) elles établissent, mettent en œuvre et gardent opérationnelles des politiques et des procédures efficaces de gestion des risques permettant de repérer les risques liés aux activités, aux processus et aux systèmes de l'entreprise, et, le cas échéant, de déterminer le niveau de risque toléré par l'entreprise;
b) elles adoptent des arrangements, des processus et des mécanismes permettant de gérer efficacement les risques liés aux activités, aux processus et aux systèmes de l'entreprise eu égard à son niveau de tolérance au risque;
c) elles contrôlent:
i) l'adéquation et l'efficacité de leurs politiques et procédures de gestion des risques;
ii) le degré avec lequel l'entreprise d'investissement et les personnes concernées se conforment aux arrangements, aux processus et aux mécanismes adoptés en application du point b); et
iii) l'adéquation et l'efficacité des mesures prises pour remédier à toute déficience au niveau de ces arrangements et procédures, y compris toute défaillance du personnel de l'entreprise dans le respect de ces arrangements ou l'application de ces procédures.
2. Les États membres exigent des entreprises d'investissement, lorsque cela est approprié et proportionné eu égard à la nature, à l'échelle et à la complexité de leur activité, ainsi qu'à la nature et à l'éventail des services et des activités d'investissement composant leur activité, qu'elles établissent et gardent opérationnelle une fonction de gestion des risques au fonctionnement indépendant et chargée des tâches suivantes:
a) mettre en œuvre les politiques et procédures visées au paragraphe 1;
b) fournir des rapports et conseiller les instances dirigeantes conformément à l'article 9, paragraphe 2.
Dans les cas où une entreprise d'investissement n'est pas tenue, en vertu du premier alinéa, d'établir et de garder opérationnelle une fonction de gestion des risques au fonctionnement indépendant, elle doit néanmoins être en mesure de démontrer que les politiques et procédures qu'elle a adoptées en application du paragraphe 1 satisfont aux exigences de ce paragraphe avec l'efficacité appropriée.