یکی از بخشهای مهم ارزیابی ریسک این است که نحوهی مدیریت ریسکهایی که در طول ارزیابی مشخص شدهاند، تعیین شود. این امر شامل ارزیابی میزان اهمیت ریسکها، ارزیابی احتمال رخداد آنها و تعیین نحوهی پاسخ به آنها است. در یک ممیزی SOC 2، سازمانها برای تطبیقپذیری با Common Criteria 3.2 باید رسما ثبت کنند که چه برنامهای برای استفاده از ارزیابی ریسک برای مدیریت ریسک دارند.