Direktive 2013/36/EU i člankom 321.
Príslušné orgány by preto mali zabezpečiť, aby inštitúcia žiadajúca o povolenie používať AMA prijala účinné systémy podávania správ o rizikách, a to nie len riadiacemu orgánu a vrcholovému manažmentu, ale aj všetkým útvarom zodpovedajúcim za riadenie operačných rizík, ktorým inštitúcia je alebo by mohla byť vystavená.