Segundo a ISO DIS 37301, a organização deverá identificar, analisar e avaliar periodicamente (e quando de mudanças) seus riscos de Compliance baseado em uma avaliação de riscos. Ela define que os riscos devem ser identificados pela correlação entre as obrigações de compliance pertinentes (já identificadas e avaliadas no item 6.3) com as suas atividades, produtos, serviços/aspectos de suas operações.
A norma contém um anexo de orientações para o uso, que detalha mais profundamente os critérios que podem ser abordados (p.ex. análise de fatores/fontes causais e as consequências do evento; nível de aceitação; risco inerente x risco residual; adequação e eficácia dos controles existentes da organização), mas que não faz parte dos requisitos da Norma. Além disto, a Norma ISO 19600 contempla diversas diretrizes para o processo de avaliação de riscos.
Nota-se que a norma evita requerer diretamente um “processo” neste item, (como o faz na ISO 37001), o que soa estranho, pois se trata efetivamente de um processo.