É recomendável à Administração implantar formalmente processo de gestão de riscos de tecnologia da informação, em atendimento à Norma Complementar 04/IN01/DSIC/GSIPR, observando os princípios e as diretrizes da NBR ISO/IEC 31000/2009 e à semelhança das orientações dos objetivos de controle PO4.8 e PO9.1 a PO9.6 do Cobit 4.1.