(1) Oseba v notranjih pravilih določi delovna mesta, povezana z izvajanjem postopkov ali storitev. Za ta delovna mesta se opredelijo splošni, posebni in varnostni pogoji za njihovo zasedbo.

(2) Oseba lahko opredeli delovna mesta iz prejšnjega odstavka tudi tako, da določi vloge in z njimi povezane odgovornosti za izvajanje notranjih pravil. Za posamezno vlogo se v notranjih pravilih določi način dodelitve vloge (na primer akt o organizaciji in sistemizaciji delovnih mest, sklep, pogodba) ter opredelijo splošni, posebni in varnostni pogoji, ki jih mora izpolnjevati odgovorna oseba, ki bo prevzela odgovornosti.

(3) Oseba v skladu z oceno tveganja zagotovi takšno razdelitev nalog, da posamezniku omogoča dostop do informacij, ki jih ta potrebuje, in hkrati onemogoča neopaženo zlorabo informacij, do katerih ima dostop.