Het management moet risico's op een uitgebreide manier identificeren en alle belangrijke interacties tussen de entiteit en andere partijen, evenals interne factoren op zowel het niveau van de entiteit als van de activiteit, moeten in overweging nemen.
De risico's moeten door het management uitgebreid worden geïdentificeerd.