در یک ممیزی SOC 2 نیاز است که ارزیابی ریسک انجام شود، بهخصوص اگر چنین ارزیابی در طول سال گذشته انجام نشده باشد. انجام ارزیابی ریسک برای تطبیقپذیری SOC 2 حیاتی است زیرا به سازمان این توانایی را میدهد که کنترلهایی را که باید در ممیزی SOC 2 ارزیابی شود مشخص نماید و همچنین انواع ریسکهای مختلفی که با آن مواجه میشوند را تعیین کنند.