Como alternativa para a auditoria de TI, um modelo de avaliação do risco de um ativo, que identifica também o risco residual e produz um plano de ação, deve combinar a probabilidade da ameaça,