De risicoanalyse bestaat uit 3 hoofdstappen:

​

1. Het in kaart brengen van de onderdelen van de informatievoorziening conform het MAPGOOD model.

2. Het in kaart brengen van de dreigingen die relevant zijn voor het te onderzoeken informatiesysteem, met per dreiging de potentiële impact en de kans op optreden.

3. Het vertalen van de meest relevante dreigingen naar maatregelen die moeten worden getroffen.

 

De risicoanalyse dient zo ongekleurd en neutraal als mogelijk te worden ingevuld.

​

Het uitvoeren van een risicoanalyse dient te worden ondersteund door een expert met ervaring bij het uitvoeren van risicoanalyses. Het is aan te bevelen dat de organisatie een interne medewerker aanstelt die de risicoanalyse uitvoert en op deze manier ervaring met het uitvoeren van risicoanalyses opbouwt. Dit zal de kwaliteit van het uitvoeren van volgende risicoanalyses verhogen.

​

Tijdens de risicoanalyse ligt de nadruk op procesbewaking en kwaliteitsbewaking door het stellen van controlevragen om de verschillende inschattingen tussen de deelnemers van de risicoanalyse te toetsen.