A o ambiente externo, que determina a forma como os riscos e os controles serão percebidos pelos empregados da organização.
B a escolha dos objetivos, condicionada à identificação das situações de risco, aos quais a missão da organização deve alinhar-se.
C a avaliação de riscos, que devem ser identificados, administrados e associados aos objetivos passíveis de ser influenciados e seus respectivos impactos.
D a resposta aos riscos, que a administração tratará de compartilhar com os clientes e usuários, ou, sendo o caso, transferir para os empregados.
E a comunicação, que deve fluir sempre de baixo para cima, mantendo informados os dirigentes dos níveis hierárquicos superiores.