El ciclo de riesgo operativo (identificación, medición, control y monitoreo) debe llevarse a cabo en todas las áreas o procesos de la organización. En caso de no tener todas las áreas o procesos documentados, deberían iniciar con esa labor. De igual manera deberán cumplir con el cronograma de implementación del Sistema de Administración de Riesgo Operativo (SARO).