Ledelsen må identifisere risikoer på en omfattende måte og bør ta hensyn til alle viktige samspill mellom foretaket og andre parter samt interne faktorer både på foretaks- og aktivitetsnivå.
Ledelsen trenger ikke å identifisere risikoen i noen omfattende grad.