Описание риск-сценария по COBIT 5 включает следующие компоненты: источник риска (внутренний или внешний — действия сотрудников, конкурентов, партнёров, регуляторов); тип угрозы (злоумышленное действие, случайная ошибка, сбой, природный катаклизм, изменение внешнего требования); событие (как проявляется угроза, какое событие наступает); влияние (негативные последствия — раскрытие информации, модификация, уничтожение активов, кража, неэффективное проектирование или исполнение, неисполнение правил, некорректное использование активов); активы (что является источником риска и на что он воздействует — персонал, оргструктура, процессы, физическая инфраструктура, ИТ-инфраструктура, информация и приложения); временные параметры (время наступления, продолжительность воздействия, скорость обнаружения, задержка влияния от начала воздействия до наступления ущерба).