A corresponde à seleção e implementação de medidas para modificar determinado risco.
B identifica e estima riscos, considerando o uso sistemático de informações, além de englobar a análise de ameaças, vulnerabilidades e impactos.
C compreende todas as ações tomadas para controlar os riscos em uma organização, incluindo-se análise/avaliação, tratamento, aceitação e comunicação de riscos.
D compara o risco estimado na análise com critérios predefinidos, com o objetivo de identificar a importância do risco para a organização.