във връзка с това агенциите трябва непрекъснато ( 1 ) да изследват и оценяват рисковете за сигурността на дейностите по бизнес операции , ( 2 ) да определят какви политики , стандарти и контрол си заслужават да се приложат за намаляване на тези рискове , ( 3 ) насърчаване на осведомеността. и разбиране сред ръководителите на програми , компютърните потребители и персонала на системите за развитие , и
няма риск за бизнес операции , така че няма причина да се опитваме и да ги контролираме .