इसी प्रकार, यदि वे अपने संगठन के सूचना संसाधनों से जुड़े जोखिमों के बारे में नहीं जानते हैं, तो वे जोखिम को कम करने के लिए बनाई गई नीतियों के अनुपालन की आवश्यकता को नहीं समझते हैं और उनका समर्थन नहीं करते हैं।
जोखिम को कम करने के लिए कोई नीति नहीं है।