não pode ser expresso em relatório, por se tratar de assuntos reservados à instituição, e a avaliação engloba grau de probabilidades de ocorrências negativas.

é formalizado por meio de relatório, e a avaliação prescinde de regras estatísticas, por se referir às ocorrências essencialmente aleatórias, que são os danos e as perdas.

dispensa qualquer atividade de levantamento das vulnerabilidades de uma instituição, por se tratar do resultado de um processo estatístico definido pela avaliação de riscos e ameaças.

é estabelecido somente por meio de pesquisa na instituição, considerando que a análise de riscos e ameaças não adota conceitos estatísticos que admitem a probabilidade de ocorrência de resultados negativos.