Quanto ao tratamento de riscos, conforme a norma NBR ISO/IE...

A remoção da fonte do risco é forma de tratamento do risco conhecida como modificação do risco.

Os riscos residuais são aqueles classificados como impossíveis de ser tratados.

A retenção do risco consiste na ação de implementar controles que busquem reduzir os riscos a um nível aceitável pela organização.

O compartilhamento do risco envolve transferência ou compartilhamento do risco com entidades internas da organização com vistas a balancear os prejuízos entre as unidades na ocorrência de perdas advindas de um incidente.

A escolha de controles para reduzir os riscos a um nível aceitável pela organização deve considerar os seus critérios para a aceitação do risco, a exemplo dos requisitos legais, culturais e ambientais.