No que se refere ao processo para identificação, avaliação e controle de...

a) No COBIT, há processo específico para identificar, avaliar e reduzir continuamente os riscos relacionados à TI alinhados aos direcionamentos da organização. Diferentemente, a ITIL não possui um processo específico para o mesmo fim na transição de serviços. 

b) Na ITIL, há o processo gerenciar riscos no desenho de serviços, e, no COBIT, há processo de mesmo nome no domínio APO (alinhar, planejar e organizar). 

c) Na ITIL, especificamente na estratégia, há o processo gerenciamento da segurança da informação, cujo objetivo é identificar, avaliar e reduzir continuamente os riscos relacionados à TI. No COBIT, não há processo com esse objetivo. 

d) Tanto a ITIL quanto o COBIT possuem processo para gerenciar os riscos: no COBIT, chama-se garantir a otimização de riscos; na ITIL, chama-se gerenciamento de riscos da TI. Ambos encontramse na publicação referente à estratégia. 

e) Não há no COBIT nem na ITIL processo específico que trate de risco; o que há em ambos são processos que gerenciam a segurança da informação alinhados aos objetivos da TI.