estabelecer os processos de negócio.

realizar o tratamento dos riscos.

fazer avaliação de riscos.

estabelecer os controles dos sistemas de informação.

estabelecer os critérios de avaliação qualitativa do negócio.