(f) Risk assessment. All participants should conduct periodic risk assessments that identify threats and vulnerabilities; are sufficiently broad-based to encompass key internal and external factors, such as technology, physical and human factors, policies and third-party services with security implications; allow determination of the acceptable level of risk; and assist in the selection of appropriate controls to manage the risk of potential harm to information systems and networks in the light of the nature and importance of the information to be protected;
f) Évaluation des risques. Toutes les parties prenantes doivent, pour déceler les dangers qui menacent et les points vulnérables, procéder périodiquement à des évaluations des risques qui soient suffisamment larges pour couvrir l'ensemble des principaux facteurs internes et externes, tels que la technologie, les facteurs physiques et humains, les politiques et les services de tierces parties ayant des conséquences pour la sécurité, qui permettent de déterminer le niveau acceptable de risque et qui facilitent la sélection des mesures de contrôle appropriées pour gérer le risque de préjudices susceptibles d'être causés aux systèmes et réseaux d'information, selon la nature et l'importance de l'information à protéger ;