På samme måte, hvis de ikke er klar over risikoene forbundet med organisasjonens informasjonsressurser, kan de ikke forstå behovet for og støtte overholdelse av retningslinjer som er utformet for å redusere risiko.
Hvis de ikke forstår risikoen forbundet med organisasjonens informasjonsressurser, forstår de kanskje ikke behovet for politikk som reduserer risikoen.