O tratamento dos riscos envolve ações como aceitação, mitigação, transferência ou eliminação, conforme a análise de custo-benefício e o apetite ao risco da instituição.

A gestão de riscos deve ser integrada ao processo decisório e incorporada à cultura organizacional, promovendo uma abordagem proativa na mitigação de eventos adversos.

A identificação de riscos deve considerar fatores internos e externos, e envolver todas as partes interessadas relevantes ao escopo do processo.

A avaliação de riscos exige a utilização de modelos quantitativos de probabilidade exclusivamente estatística, a fim de garantir a objetividade dos resultados.