Udgangspunktet for en god risikovurdering er, at virksomheden har et godt overblik over de kritiske værdier eller aktiver, som virksomheden råder over. Ofte har virksomheden ikke det ønskede overblik, og risikostyringen tager derfor udgangspunkt i enkeltpersoners personlige opfattelser og prioriteter.

Med afsæt i en ArchiMate model af virksomhedens forretnings- og it-arkitektur får virksomheden et solidt fundament for at skabe et systematisk og dækkende billede af virksomhedens risikobillede. Trusler, sårbarheder og eksisterende kontroller/foranstaltninger identificeres, og dokumenteres i en risikovurdering. En sammenhængende plan til imødegåelse af uacceptable restrisici samles i en risikohåndteringsplan.