Organisaties kunnen verschillende doelen hebben met een risicoanalyse en risk management. Bijvoorbeeld het borgen van de business continuity, het creëren van security awareness of om de verantwoordelijkheid van stakeholders vast te stellen en ze daarop aan te spreken. 

Een belangrijke factor in risk management is de zogenaamde Risk Appetite. Oftewel: hoeveel trek heeft een organisatie in dit risico? Wat is de ambitie; hoever willen we gaan om dit risico te mitigeren? Het is verstandig om de beoordeling van risico’s niet alleen intern te beleggen, maar ook externe hulp erbij in te schakelen. Zelf ben je al snel gedeformeerd en een externe blik kan een nieuw licht schijnen op risico’s die intern als vanzelfsprekend of onbeduidend worden gezien. Het perspectief bepaalt de perceptie… 
 
Uiteindelijk komt het neer op balans tussen kosten en baten van maatregelen. Mitigeren van risico’s kan met kansverlagende maatregelen (preventief; bijvoorbeeld een goed toegangscontrolebeleid en -systeem) of met effectbeperkende maatregelen (repressief; bijvoorbeeld verzekeren). In sommige situaties kan het risico in zijn geheel worden overgedragen aan een externe partij of, indien kosten en baten niet meer in balans zijn, kan ervoor worden gekozen om het risico te accepteren.