Describir exposición y controles
- Reúne riesgo, ubicación, responsable, controles actuales y fecha de revisión.
- Registra probabilidad e impacto inherentes y residuales con la matriz identificada.
- El riesgo residual es un juicio del evaluador; listar un control no demuestra que el peligro desaparezca.