I tillegg bør byråets risikovurderingsprocess (som kreves i OMB-retningslinjene14) avsløre hvilke risikoer som vurderes som vil hindre at systemet oppfyller kriteriene som byrået har valgt.
Byråets risikovurderingsprocess bør ikke avsløre hvilke risikoer som vurderes.