Embora uma capacidade apropriadamente aplicada já reduza riscos, a organização ainda precisa analisar quais os controles necessários para assegurar que os riscos sejam mitigados e que valor é obtido em linha com o apetite de risco e objetivos de negócios. Esses controles são guiados pelos: