Stulz onderscheidt zes factoren, waardoor het maken van een risico-inschatting bepaald geen futiliteit is. Zij gelden ook voor onze ICT-organisaties.