a análise deve ser realizada com enfoque no uso e gestão organizacional;

os problemas e oportunidades identificados serão registrados no plano de gestão de riscos;

as ameaças identificadas no ambiente externo deverão ser tratadas no inventário de necessidades;

o ambiente interno é aquele no qual a área de TIC possui governança e pode agir sobre as ameaças identificadas;

o ambiente externo é aquele no qual a área de TIC está inserida e sobre o qual não possui governança, mas do qual sofre influência.