À cet égard , les organismes doivent continuellement ( 1 ) étudier et évaluer les risques liés à la sécurité de l' information pour les opérations commerciales , ( 2 ) déterminer quelles politiques , normes et contrôles méritent d' être mis en œuvre pour réduire ces risques , ( 3 ) promouvoir la sensibilisation et la compréhension entre les directeurs de programme , les utilisateurs d' ordinateurs et le personnel de développement des systèmes , et
Il n' y a aucun risque pour les opérations commerciales , donc aucune raison d' essayer de les contrôler ou de les contrôler .