ติดตามและทบทวนความเสี่ยง (risk monitor and review) ควรจัดให้มีกระบวนการติดตามและทบทวนความเสี่ยงด้าน IT โดยครอบคลุมการดำเนินการ ดังนี้ (1) การกำหนดผู้รับผิดชอบในการติดตามและทบทวนความเสี่ยง (2) การกำหนดดัชนี
คอมพิวเตอร์ หรือข้อมูลอื่นที่เกี่ยวข้อง "ระบบ IT ที่มีนัยสำคัญ” (critical system) ระบบคอมพิวเตอร์หรือระบบเครือข่ายที่หากมีการหยุดชะงักจะส่งผลกระทบอย่างมีนัยสำคัญต่อการดำเนินงานหรือความต่อเนื่องในการดำเนินงาน
เสี่ยงด้านการลงทุน ปีละ 1 ครั้ง 4. นโยบายการควบคุมและติดตามให้มีการดำเนินงานตามนโยบายและมาตรการของบริษัท (Three lines of defense, มีระบบ monitor, compliance culture) ปีละ 1 ครั้ง 5. นโยบายการลงทุน
เกี่ยวข้องในการให้บริการ (Mission Critical System) - แนวทางสอดคล้องกับแผนการบริหารความต่อเนื่องในการดำเนินธุรกิจ ผลการประเมินผลกระทบทางธุรกิจ และเป้าหมายการกู้คืนระบบให้บริการ - กำหนดสถานการณ์ฉุกเฉิน ครอบคลุม
. หน่วยงานที่สำนักงานกำหนดให้เป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure: CII) ของภาคตลาดทุน 2. ศูนย์ซื้อขายสัญญาซื้อขายล่วงหน้า, สำนักหักบัญชีสัญญาซื้อขายล่วงหน้า