L’institution de sécurité sociale définit des processus et structures qui permettent d’identifier le risque.

La première étape d’une procédure de gestion du risque consiste en l’identification du risque. L’institution est confrontée à deux grands types de risques: les risques liés au régime, qui ont en principe des conséquences financières directes (Ligne directrice 35) et les risques opérationnels, qui ont généralement des conséquences financières indirectes (Ligne directrice 36). Pour identifier l’ensemble des risques, il faut analyser et évaluer toutes les activités de l’institution de sécurité sociale, à savoir la conception, la fourniture, le mode de financement et la politique de capitalisation, la gestion et l’administration des prestations et services, ainsi que l’information sur ces biens et services. Cette étape de la procédure devra permettre à l’institution de savoir quels risques existent, quelle est leur ampleur et comment ils sont susceptibles d’évoluer à l’avenir.