Vid tillämpning av 40 a § 1 mom. 2 punkten ska beskrivningen visa att de styrsystem, interna kontrollmekanismer och system för användning av informations- och kommunikationsteknik som avses i ledet i fråga är proportionella, lämpliga, sunda och tillräckliga. Dessutom ska styrsystemen och de interna kontrollmekanismerna omfatta följande:
1) en kartläggning av de risker som betalningsinstitutet eller institutet för elektroniska pengar har identifierat, med beskrivningar av typerna av risker och de förfaranden som betalningsinstitutet eller institutet för elektroniska pengar har infört eller kommer att införa för att bedöma och förebygga sådana risker,
2) de olika förfarandena för genomförande av periodiska och fortlöpande kontroller med angivande av frekvens och avsatta mänskliga resurser,
3) de redovisningsförfaranden som betalningsinstitutet eller institutet för elektroniska pengar tillämpar för att registrera och rapportera sin finansiella information,
4) identitetsuppgifter om alla personer som ansvarar för den interna kontrollen, för periodiska och fortlöpande kontroller samt för efterlevnadskontroller, med aktuell meritförteckning för personerna i fråga,
5) identitetsuppgifter om alla revisorer som inte är sådana revisorer som avses i 1 kap. 2 § 1 mom.1 punkten i revisionslagen (1141/2015),
6) ledningsorganets sammansättning och i tillämpliga fall andra tillsynsorgans eller tillsynskommittéers sammansättning,
7) en beskrivning av hur utkontrakterade funktioner övervakas och kontrolleras för att undvika att kvaliteten på de interna kontrollerna hos betalningsinstitutet eller institutet för elektroniska pengar försämras,
8) en beskrivning av hur ombud och filialer övervakas och kontrolleras inom ramen för de interna kontrollerna hos betalningsinstitutet eller institutet för elektroniska pengar,
9) en beskrivning av koncernens styrelseformer om betalningsinstitutet eller institutet för elektroniska pengar är dotterföretag till en reglerad enhet i en annan medlemsstat.