Zodra een organisatie een aantal risicogebieden heeft aangewezen en de mogelijke omvang van het risico heeft gekwantificeerd, en het management en andere belangrijke ambtenaren zich ertoe hebben verbonden en een doel hebben gesteld om het risico te verminderen, moet de organisatie actie ondernemen om dit doel te bereiken.
De organisatie heeft de risico's geëvalueerd en een plan opgesteld om ze te verminderen.