Исходя из специфики и целей организации мы уточняем величину и тип риска, который она может или не может принять, критерии оценки значимости риска и принятия решений. Важно, чтобы критерии риска отражали ценности организации, ее цели и ресурсы и соответствовали фактической политике управления в организации.