o escopo de uma análise/avaliação de riscos deve ser sempre em toda a organização.

os riscos nunca devem ser aceitos, mesmo que sejam baixos ou se o custo do tratamento não for viável para a organização.

riscos não podem ser evitados, pois não há como impedir ações que podem causar a ocorrência de riscos.

para riscos onde a decisão de tratamento do risco seja a de aplicar controles apropriados, esses controles devem ser selecionados e implementados para atender aos requisitos identificados pela análise/avaliação de riscos.

os riscos não podem ser transferidos para outras partes, como seguradoras ou fornecedores, por exemplo.