第三步，控制防范风险
在进行风险分析并计算出大致成本，同时对投入产出已经有了明确的认识后，控制防范风险就是最重要的行动。相对而言，这一步是比较轻松的了。前面的分析得已经明确的计算出了损失和成本，到此只是需要决策者的支持和决心。
控制风险，最重要的就是选择合适的供应商，选择合适自己的解决方案。
另外，不可否认的是，新的系统的引入，会带来新的风险，这是无法避免的。在控制防范过程中，一定要注意分析评估新系统的风险，同样的也是使用定量和定性结合的方式。
第三步中的评估，是要参照前一步中一些相关数据，有时我们甚至会改变前一步分析时的一些赋值。这样做往往引起全局分析结果的变化，我们常会无奈的发现，原先成本可以接受的措施，已经变得不值得投入。或者，一些措施带来的风险更重于引入该措施之前。
于是，不得不在两份或多份报告中选择，找到一个最优化的结果。这也证明，风险是不可能完全规避的，明确的目标就是控制风险在一个可接受的范围内。
