Yönetimin riskleri kapsamlı bir şekilde tanımlaması ve kurum ve diğer taraflar arasındaki tüm önemli etkileşimleri ve hem kurum genelinde hem de faaliyet düzeyinde iç faktörleri göz önünde bulundurması gerekir.
Riskler yönetim tarafından kapsamlı bir şekilde tanımlanmalıdır.
Yönetim, riskleri kapsamlı bir dereceye kadar tanımlamak zorunda değildir.