Kontrollaktiviteter vil ikke være fullt effektive før alle, fra den som står ved disken til lederen av byrået, tar ansvar for risikostyring fra sitt respektive posisjon.
Når alle bestemmer seg for å håndtere risikoen fra sine respektive posisjoner, blir det lettere å gjennomføre kontrollaktiviteter.