В това отношение агенциите трябва непрекъснато (1) да проучват и оценяват рисковете за информационната сигурност за бизнес операциите, (2) да определят какви политики, стандарти и контроли си струва да бъдат приложени, за да се намалят тези рискове, (3) да насърчават осведомеността и разбирането сред програмните мениджъри, потребители на компютри и персонал за разработка на системи и
Няма риск за бизнес операциите, така че няма причина да се опитвате да ги оценявате или контролирате.