Innebär en kartläggning av företagets riskmiljö och ger svar på frågan: vilka risker har vi? Identifierade risker kan antingen accepteras eller åtgärdas.