이와 관련하여 기관은 (1) 사업 운영에 대한 정보 보안 위험을 지속적으로 탐색하고 평가해야 하며, (2) 이러한 위험을 줄이기 위해 어떤 정책, 기준 및 통제가 실행될 가치가 있는지를 결정해야 하며, (3) 프로그램 관리자, 컴퓨터 사용자 및 시스템 개발 직원 간의 인식 및 이해를 촉진해야 한다.
비즈니스 운영에는 위험이 없으므로 비즈니스 운영을 시도하고 평가하거나 통제할 이유가 없습니다.