Todo risco identificado antes da aplicação de qualquer medida de mitigação.

Risco que, por sua natureza, é impossível de ser mensurado pela organização.

Risco derivado estritamente de falhas de hardware ou obsolescência tecnológica.

Risco que permanece após a implementação dos controles de segurança planejados.