ledelsen må identifisere risikoer på en omfattende måte og bør ta hensyn til alle viktige samspill mellom foretaket og andre parter samt interne faktorer både på foretaks- og aktivitetsnivå
risikene må identifiseres omfattende av ledelsen
ledelsen trenger ikke å identifisere risikoen i noen omfattende grad