Pasal 24

(1) Pemilik Proses Bisnis yang akan melakukan belanja atau investasi TIK, wajib melakukan kajian kesiapan dan kajian risiko bersama dengan CIO. (2) Kajian kesiapan dan kajian risiko sebagaimana dimaksud pada ayat (1) meliputi: a. struktur organisasi yang mendukung operasional aplikasi TIK, yang meliputi dukungan manajemen, kepemilikan aplikasi, penanggung jawab teknis, operator, dan pengawas; b. prosedur operasional pengelolaan, tanggung jawab dan kewenangan pelaksana aplikasi; dan c. penerapan manajemen risiko, khususnya pengendalian pengamanan yang sesuai dengan Kaidah Keamanan Informasi.