på samme måte, hvis de ikke er klar over risikoene forbundet med organisasjonens informasjonsressurser, kan de ikke forstå behovet for og støtte overholdelse av retningslinjer som er utformet for å redusere risiko
hvis de ikke forstår risikoen forbundet med organisasjonens informasjonsressurser, forstår de kanskje ikke behovet for politikk som reduserer risikoen
det finnes ingen retningslinjer som reduserer risikoen