برای اینکه یک سازمان در یک ممیزی SOC 2 تطبیقپذیری خود را با Common Criteria 3.2 نشان دهد، باید به تیم ممیزی نشان دهد که چطور میتواند اهمیت ریسکهایی که در ارزیابی ریسک پیدا میشود را بسنجد. این کار را میتوان با به کار گیری فرایندهایی انجام داد که به سازمان توانایی تعیین کمیت یا کیفیت ریسک را میدهد.