ความเสี่ยง (Risk Treatment Plan) เพื่อให้มั่นใจว่ามีการจัดการ IT Risk อย่างเหมาะสมและสอดคล้องกับผลการประเมินความเสี่ยง (risk assessment) เพื่อให้ความเสี่ยงที่เหลืออยู่ (residual risk) อยู่ในระดับความ