风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。组织对自身信息及信息系统进行风险评估是一种战略性的考虑，其结果将受组织的商业需求及战略目标、文化、业务流程、安全要求、规模和结构所影响。不同组织对于风险评估过程中的各种子过程可能存在不同的要求，因此在风险评估实施前，组织应：
      1．确定风险评估的范围；
      2．确定风险评估的目的，为风险评估的实施提供导向；
      3．建立适当的组织结构；
      4．建立系统性的风险评估方法；
      5．获得最高管理者对风险评估策划的批准。