Daartoe wordt vastgesteld wat het belang is van het product voor klanten en gebruikers, en wat het belang is van specifieke onderdelen van het product zoals infratructuur, applicatie en helpdesk. Daarna wordt bekeken welke risico`s het oplevert als het betreffende product uitvalt of gecompromitteerd raakt. Daarna wordt bekeken of de mate van redundantie in de infrastructuur voldoende is, of het crisis- en calamiteitenplan goed werkt, of veranderingen in de infrastructuur op een gecontroleerde manier plaatsvinden en of de capaciteit van het product in een juiste verhouding staat tot de groei van het gebruik.
Vooral bij leveranciers waarbij de risico`s relatief gering zijn, levert risk based auditing grote tijdswinst op. Dat kan oplopen tot 50%.
