Um mögliche Risiken zu minimieren und planbar zu machen, erstellt die IT Competence Group bereits zu Projektbeginn eine Bestandsaufnahme, welche identifizierbaren Risiken es für das Projekt gibt. Ziel der Risikoverringerung ist es, entweder die Wahrscheinlichkeit zu senken, dass ein Risikoereignis eintritt, oder die Auswirkungen des Risikos auf die Projektziele zu reduzieren. Die Frage nach Ursache des Risikos, Ereignis und Auswirkung auf die Projektziele dient der Gewichtung der identifizierbaren Risiken. Dabei pflegt die IT Competence Group eine offene Risikokultur, indem alle Projektmitarbeiter ermutigt werden, zur Risikoidentifikation beizutragen und unangenehme Risiken ans Licht zu bringen.
Detailliert erfasste Ursachen sind die Grundlage für die spätere Planung von Reduktionsmaßnahmen. Für ein wirkungsvolles Risikomanagement ist es wichtig, das Risikoereignis von seiner Auswirkung zu trennen. Mit einer genauen Beschreibung des Ereignisses, wird die Möglichkeit geschaffen, die Auswirkungen zu reduzieren, bevor diese überhaupt sichtbar werden. Die Beschreibung der Auswirkungen eines Risikos ist die Grundlage für dessen Bewertung und für die Planung von Gegenmaßnahmen. Diese Risikobewertung zeigt auf, von welchen Faktoren der Projekterfolg am stärksten abhängt und welche Aufgaben bei Bedarf priorisiert werden müssen.

Nach der Risikoanalyse werden anhand der Risikobeschreibung mögliche Maßnahmen zur Risikovorbeugung und sinnvolle Sofortmaßnahmen abgeleitet, um einen risikoangepassten Projektplan zu erstellen und die Eintrittswahrscheinlichkeit oder die Auswirkung des Risikoereignisses zu verringern.
Um während des Projektverlaufs den Überblick über alle Risiken zu behalten, überwacht IT Competence Group regelmäßig, wann und welche Risiken eintreten können. Durch ein wiederholtes Risiko-Assessment während der Projektdurchführung werden für jedes identifizierte Risiko die Analyse, der Status der Verringerungsmaßnahmen, die Durchführbarkeit der Reaktionsmaßnahmen und die Risikobewertung geprüft.