ความเสี่ยงอยู่ที่ระดับใด เหมาะสมกับ inherent risk ที่มีหรือไม่ซึ่งจะช่วยให้ผู้ประกอบธุรกิจทราบถึงความสามารถในการรับมือภัยคุกคามไซเบอร์โดยรวมของตนเองและสามารถวางแผนเพื่อปิด gap ได้อย่างมีประสิทธิภาพ ในขณะ
ที่มีความเสี่ยงสูง ผู้ประกอบธุรกิจต้องมีมาตรการเพิ่มเติม (enhance) ที่จะทำให้ติดตามตรวจสอบได้ว่าพนักงานมีการปฏิบัติไม่เป็นไปตามกฎเกณฑ์หรือไม่ และหากพบว่ามีการปฏิบัติไม่เป็นไปตามกฎ