Ръководството трябва изчерпателно да идентифицира рисковете и трябва да вземе предвид всички значими взаимодействия между предприятието и други страни, както и вътрешни фактори както на ниво предприятие, така и на ниво дейност.
Ръководството не трябва да идентифицира рисковете в някаква цялостна степен.