हर जोखिम को मापने के लिए उचित नियंत्रणों का चुनाव अथवा प्रत्युपाय करें। जोखिम को कम करने के लिए प्रबंधन के उपयुक्त स्तर अनुमोदन आवश्यक है। उदाहरण के लिए, संस्था की छवि से संबंधित जोखिम के पीछे उच्च स्तरीय प्रबंधन का निर्णय होना चाहिए जबकि कंप्यूटर वाइरस जोखिम के निर्णय का अधिकार सूचना प्रौद्योगिकी प्रबंधन के पास रहेगा.

जोखिम प्रबंधन के लिए जोखिम प्रबंधन योजना को प्रयोज्य (उचित) और प्रभावकारी सुरक्षा नियंत्रणों के प्रस्ताव पेश करने चाहिए। उदाहरण के लिए, एक विदित उच्च जोखिम वाले कंप्यूटर वाइरस के जोखिम को एंटी वाइरस सॉफ्टवेयर प्राप्त एवं कार्यान्वित कर कम किया जा सकता है। एक अच्छी जोखिम प्रबंधन परियोजना में कार्यान्वयन के नियंत्रण एवं उन कार्यों के लिए जिम्मेदार व्यक्तियों के लिए नियत कार्यक्रम होना चाहिए।

ISO/IEC 27001 के अनुसार जोखिम विश्लेषण के तुरंत बाद पूरा होने वाले चरण में जो पड़ाव आता है उसमें जोखिम उपचार योजना तैयार करना शामिल है, जिसे उन फैसलों के सम्बन्ध में दस्तावेज पेश करना चाहिए कि पहचान किए गए प्रत्येक जोखिम का प्रबंधन कैसे किया जाना चाहिए। अक्सर जोखिमों में कमी से तात्पर्य सुरक्षा नियंत्रणों का चुनाव करना है जिसे व्यावहारिकता के विवरण (स्टेटमेंट ऑफ़ एप्लिकेबिलीटी) में दस्तावेजित किया जाना चाहिए जो यह निर्धारित करता है कि किस ख़ास नियंत्रण का चुनाव उद्देश्यों के आधार पर और किस 
मानक के आधार पर किया गया है और क्यों.

सन्दर्भ की स्थापना
जोखिम प्रबंधन के सिद्धांत
जोखिम प्रबंधन की एक योजना बनाना
उद्यम संबंधी जोखिम प्रबंधन