No que se refere ao processo para identificação, avaliação e controle de risc...

a) No COBIT, há processo específico para identificar, avaliar e reduzir continuamente os riscos relacionados à TI alinhados aos direcionamentos da organização. Diferentemente, a ITIL não possui um processo específico para o mesmo fim na transição de serviços.

b) Na ITIL, há o processo gerenciar riscos no desenho de serviços, e, no COBIT, há processo de mesmo nome no domínio APO (alinhar, planejar e organizar).

c) Na ITIL, especificamente na estratégia, há o processo gerenciamento da segurança da informação, cujo objetivo é identificar, avaliar e reduzir continuamente os riscos relacionados à TI. No COBIT, não há processo com esse objetivo.

d) Tanto a ITIL quanto o COBIT possuem processo para gerenciar os riscos: no COBIT, chama-se garantir a otimização de riscos; na ITIL, chama-se gerenciamento de riscos da TI. Ambos encontram-se na publicação referente à estratégia.

e) Não há no COBIT nem na ITIL processo específico que trate de risco; o que há em ambos são processos que gerenciam a segurança da informação alinhados aos objetivos da TI.