Оцінка ефективності існуючих засобів контролю.

Впровадження заходів для зниження виявлених ризиків.

Порівняння оцінених ризиків із критеріями ризику для визначення їх значущості.

Виявлення потенційних загроз інформаційним активам.