de interne faktorene er sannsynligvis mer innenfor enhetens kontroll på alle punkter
risikene må identifiseres omfattende av ledelsen
ledelsen trenger ikke å identifisere risikoen i noen omfattende grad