Sie definieren Werte/Assets, Bedrohungen, Schwachstellen und Maßnahmen. Bewertungsraster sind konfigurierbar (Impact/Likelihood, qualitative oder semi-quantitative Skalen); Residualrisiken werden nach Maßnahmen fortgeschrieben.