A instituição estabelece um processo de gerenciamento de continuidade de serviço (ITSCM) para garantir a continuidade de seus serviços, especialmente aqueles que envolvem operações críticas, e mantém a disponibilidade de informações em um nível aceitável em caso de interrupção significativa. O ITSCM deve se concentrar nos eventos que a instituição considera significativos o suficiente para serem tratados como um "desastre".

Os riscos de perda de um processo de negócio, como perda financeira, dano à reputação ou violação regulatória, são medidos por meio de um exercício conjunto entre equipe funcional e TIC - denominado análise de impacto no negócio -, que determina os requisitos mínimos críticos.