Una vez identificadas las áreas de riesgo, se debe medir su impacto potencial en los programas y actividades y se deben considerar controles adicionales.
Debería estudiarse el impacto de las áreas de riesgo.