Pasal 18

(1) Kriteria risiko yang diretensi sebagaimana dimaksud dalam Pasal 17 paling sedikit meliputi hal-hal sebagai berikut: a. maksimal memiliki tingkat konsekuensi pada level yang telah ditetapkan untuk diretensi sesuai dengan toleransi dan selera risiko unit kerja yang telah ditetapkan; b. terdapat perlindungan hukum yang memadai mencakup regulasi dan/atau kontrak/perjanjian; dan c. unit pemilik risiko terkait dapat memastikan dengan tingkat keyakinan di atas

80% bahwa tidak akan terjadi kegagalan pada pegawai, proses, dan sistem yang ada. (2) Kriteria risiko yang ditransfer sebagaimana dimaksud dalam Pasal 17 paling sedikit meliputi hal-hal sebagai berikut: a. risiko residual dengan tingkat konsekuensi pada tingkat risiko yang tidak dapat diterima sesuai dengan toleransi dan risiko unit kerja yang dapat diterima; dan b. unit kerja tidak memiliki sumber daya yang memadai untuk membiayai konsekuensi risiko yang diperkirakan.