O pré-requisito é ter um objetivo. Os eventos de risco podem ser pensados a partir do momento em que o objetivo do processo analisado está definido. Depois basta fazer a seguinte pergunta: o que é capaz de evitar, impedir, atrasar ou prejudicar o alcance do objetivo do processo? É importante levar em conta opinião de especialistas, séries históricas, relatórios de auditoria, organograma, fluxograma, etc.