• Proses menilai dan mengukur risiko dan menetapkan tingkat risiko yang dapat diterima bagi organisasi
• Risiko dapat dikurangi, tetapi tidak bisa dihilangkan