A utiliza o trabalho de campo em sua definição, e a avaliação determina uma análise de probabilidades sujeita a regras estatísticas.
B não pode ser expresso em relatório, por se tratar de assuntos reservados à instituição, e a avaliação engloba grau de probabilidades de ocorrências negativas.
C é formalizado por meio de relatório, e a avaliação prescinde de regras estatísticas, por se referir às ocorrências essencialmente aleatórias, que são os danos e as perdas.
D dispensa qualquer atividade de levantamento das vulnerabilidades de uma instituição, por se tratar do resultado de um processo estatístico definido pela avaliação de riscos e ameaças.
E é estabelecido somente por meio de pesquisa na instituição, considerando que a análise de riscos e ameaças não adota conceitos estatísticos que admitem a probabilidade de ocorrência de resultados negativos.