når risikoområder er identifisert, bør deres potensielle innvirkning på programmer og aktiviteter måles og ytterligere kontroller bør vurderes
effekten av risikoområder bør undersøkes
effekten av risikoområder blir aldri studert