Es ist ein dokumentierter und klar definierter Risikomanagement-Rahmen vorhanden, welcher den strategischen Plan unterstützt. Der Rahmen besteht aus einem Paket aufeinander abgestimmter Grundsätze, Richtlinien, Verfahren, Funktionen und Verantwortlichkeiten sowie einer Infrastruktur, um die Handlungen der Institution beim Begegnen von Risiken zu lenken. Er ermöglicht die Identifizierung, Beurteilung, Minimierung, Behandlung, Überwachung und rechtzeitige Kommunikation von Risiken und ihre Auswirkungen. Der leitende Geschäftsführer gibt den Ton an der Spitze der Organisation an und geht mit gutem Beispiel voran, um die Risikokultur der Institution zu fördern und zu stärken.