Ledelsen må identifisere risikoer på en omfattende måte og bør ta hensyn til alle viktige samspill mellom foretaket og andre parter samt interne faktorer både på foretaks- og aktivitetsnivå.
De interne faktorene er sannsynligvis mer innenfor enhetens kontroll på alle punkter.