Для выявления слабых сторон при анализе рисков необходимо задавать вопросы: «Почему этот риск возможен? Какие внутренние характеристики или процессы организации делают этот риск вероятным? Какие особенности структуры управления, культуры или коммуникаций способствуют возникновению этого риска?» Подобные вопросы помогают выйти за рамки поверхностного описания рисков и проникнуть в их причины, что позволяет идентифицировать реальные слабые стороны организации, требующие внимания и корректировки.