การทำ ISO 9000 หรือ ISO 27001 จะต้องมีการทำ Risk Assessment ในการประเมินความเสี่ยงของทรัพย์สิน โดยปกติจะใช้การประเมิน ความเสี่ยง Asset-Based ตามรายการทรัพย์สิน แบบนี้ทำได้ยาก ใช้เวลานาน จึงมีการประเมินความเสี่ยงในรูปแบบ Scenario-Based ตามเหตุการณ์ความเสี่ยงแทน