Una vez identificadas las áreas de riesgo, se debe medir su impacto potencial en los programas y actividades y se deben considerar controles adicionales.
El impacto de las áreas de riesgo nunca se estudia.