Den officielle tekst
(38)
Da større finansielle enheder kan have adgang til flere ressourcer og hurtigt kan afsætte midler til at udvikle forvaltningsstrukturer og indføre forskellige virksomhedsstrategier, er det kun finansielle enheder, der ikke er mikrovirksomheder i denne forordnings forstand, som skal pålægges at indføre mere komplekse forvaltningsordninger. Sådanne enheder er bedre rustet til at indføre særlige ledelsesfunktioner med henblik på tilsynsordninger med tredjepartsudbydere af IKT-tjenester eller til at varetage krisestyring, til at tilrettelægge deres egen IKT-risikostyring efter modellen med tre forsvarslinjer eller til at etablere en intern model for risikostyring og kontrol og til at underkaste deres ramme for IKT-risikostyring intern revision.