A definir critérios de aceitação de risco com base prioritária na probabilidade, sem considerar outros fatores.
B atribuir à alta direção a responsabilidade geral pela gestão de todos os riscos identificados.
C estabelecer critérios únicos para todas as unidades da organização, sem distinção.
D considerar apetite ao risco, requisitos das partes interessadas e normas específicas do setor.
E excluir documentos contratuais como fonte de controles.