L’institution définit un cadre de gestion des risques liés aux TIC comprenant un plan d’atténuation qui vise à réduire les menaces, les vulnérabilités et les conséquences potentielles d’une absence de protection des données.