Det kreves god faglig og operativ innsikt for å kunne identifisere trusler og risikoer. Risikovurdering og tiltak skal tilpasses virksomheten til den enkelte rapporteringspliktige.