Bij de identificatie is een belangrijke rol weggelegd voor de medewerkers en teammanagers. Zij hebben het beste zicht op de processen binnen hun team. Twee keer per jaar vindt er een volledige actualisatie van de risico’s plaats door de teammanager(s) in samenwerking met de (domein-)controllers. Deze actualisatie wordt in de beleidsbegroting en het jaarverslag verwerkt. Dit laat onverlet dat actualisatie van de risico’s zich ook tussentijds voor kan doen. Aanpassing van de risico’s is altijd een samenspel tussen de teams en team Concern control en vindt gedurende het jaar continu plaats. Bevindingen worden aan directie, het college van burgemeester en wethouders en de gemeenteraad gerapporteerd via de begroting en de jaarstukken.
In deze fase worden ook beheersmaatregelen in kaart gebracht. Een beheersmaatregel is een maatregel die het risico voorkomt of vermindert. De belangrijkste beheersmaatregel is de cultuur van de organisatie. Een organisatie waar eenieder zich voortdurend bewust is van de risico’s die bepaalde beslissingen of handelingen met zich meebrengen (en hier ook naar handelt) garandeert de beste beheersing van risico’s. Het hebben van regelingen en procedures is ook cruciaal en hangt weer nauw samen met de cultuur. Deze nota en het proces van cyclisch inventariseren, analyseren en communiceren van risico’s is ook een goede beheersmaatregel. Uiteraard zijn er ook specifieke beheersmaatregelen op bepaalde risico’s. Het afsluiten van verzekeringen is daar een sprekend voorbeeld van.
Vermindering van risico’s kan ook een maatregel betreffen waarbij het risico geheel of gedeeltelijk bij een andere partij wordt belegd. Niet altijd is het mogelijk om een beheersmaatregel te treffen.