Bewertet werden deshalb technische, organisatorische und operative Risiken ebenso wie notwendige Ressourcen, Abhängigkeiten und Voraussetzungen.
Auch Auswirkungen auf bestehende Prozesse, Systeme oder Betriebsmodelle gehören zur Betrachtung.
Risiken sollen dabei nicht dramatisiert, sondern entscheidbar gemacht werden.