A kötelezettségek és ellenőrzések mértéke a kockázat nagyságával arányosan nő.

A kockázat értékelését kizárólag utólag, a jogsértések után végzik.

Minden kötelezettség azonos súlyú, függetlenül a technológia kockázatától.

A kockázatalapú megközelítés kizárólag a pénzügyi szektorra vonatkozik.