Die Mitgliedstaaten verpflichten die EbAV in einer ihrer Größe und internen Organisation und der Größenordnung, der Art, des Umfangs und der Komplexität ihrer Tätigkeiten angemessenen Weise, über eine wirksame Risikomanagementfunktion zu verfügen. Diese Funktion ist derart zu strukturieren, dass sie die Funktionsweise des Risikomanagementsystems erleichtert, für das die EbAV Strategien, Prozesse und Meldeverfahren einführen, die erforderlich sind, um die Risiken, denen die EbAV und die von ihnen betriebenen Altersversorgungssysteme ausgesetzt sein können, sowie ihre Interdependenzen zu erkennen, zu messen und zu überwachen und mit ihnen umzugehen und darüber dem Verwaltungs-, Management- oder Aufsichtsorgan der EbAV regelmäßig auf Einzelbasis und auf aggregierter Basis Bericht zu erstatten.

Das Risikomanagementsystem deckt in einer für ihre Größe und die interne Organisation der EbAV sowie die Größenordnung, die Art, den Umfang und die Komplexität ihrer Tätigkeiten angemessenen Weise die Risiken, denen die EbAV selbst oder die Unternehmen, an die Tätigkeiten einer EbAV ausgelagert werden, ausgesetzt sein können, sofern angezeigt mindestens in den folgenden Bereichen ab:

Tragen gemäß den Bedingungen des Altersversorgungssystem auch die Versorgungsanwärter und Leistungsempfänger Risiken, so berücksichtigt das Risikomanagementsystem diese Risiken auch aus der Sicht der Versorgungsanwärter und Leistungsempfänger.