Identificar cuáles son los riesgos que probablemente se puedan presentar, por qué y cómo pueden surgir los riesgos, como base para un análisis posterior. Este paso requiere una detallada descripción del proceso de control actual, el cual deberá incluir:

3. Análisis de riesgo
Determinar los controles y analizar los riesgos con respecto a su probabilidad y consecuencia. El análisis debería considerar:

Si los niveles estimados son bajos, entonces los riesgos entrarían en una categoría aceptable y no es necesario llevar a cabo ninguna intervención.
4. Evaluación y priorización de riesgos
Comparar los niveles de riesgo estimados en función de los criterios preestablecidos. Los riesgos se clasifican a los efectos de identificar las prioridades de la gestión. Existen distintos sistemas de clasificación. La clasificación ALTO, MEDIO y BAJO es ampliamente utilizada. En ambientes complejos puede ser necesario un sistema más detallado, como por ejemplo un puntaje de 1 a 100. Este sistema requiere asimismo la determinación de alto y bajo riesgo pero también es más exacto. La evolución de los riesgos debe ser continuamente revisada por cualquier cambio que surgiera en la naturaleza, nivel o importancia de los mismos.
5. Manejo de riesgos
 Aceptar y seguir la evolución de los riesgos de baja prioridad. Con respecto a otros riesgos, desarrollar e implementar un plan de gestión que incluya la consideración de recursos (humanos, financieros y tecnológicos). 
6. Supervisión y revisión – Medición del cumplimiento de la ley
 Supervisar y revisar el funcionamiento, la eficacia y la rentabilidad del sistema de gestión de riesgo así como los cambios que pudieran afectarlo.
7. Documentación 
Debería existir un registro de riesgos que respalde el criterio de selección de riesgos, y que registre las razones en base a las cuales se efectuó la evaluación a los efectos de crear un historial de auditorías para que la información importante no se pierda.