詳細リスクアセスメント手順

27001：2005では具体的に記述されていたが、27001：13では一般的な表現に止め（とどめ）られている。ＩＳＯ31000との整合性。

表現が一般的ということと内容が手抜きで良いということは別。結局、リスクを洗い出すための合理的な手順が要求される。一般要求でも、解は情報セキュリティの問題に対する解が求められる。

前規格の方法論以外に適切なものがあれば構わないが説明責任が出てくる。その分、新規格はやり難い。