IT 主要リスク指標 (KRI) は、IT 関連リスクが企業の目的や目標に及ぼす可能性と影響を測定する指標です。したがって、適切な IT KRI を決定する最初のステップは、企業にとって関連性があり重要な IT 関連リスクを特定することです。IT コントロール、IT 脅威、IT 目標も IT KRI の開発において重要な要素ですが、最初のステップではありません。IT コントロールは IT リスクを軽減または削減する対策であり、IT 脅威は IT 資産またはプロセスに対する潜在的な損害または損失の原因であり、IT 目標は企業の戦略と目標をサポートする IT 活動の望ましい成果または結果です。参照:= ISACA、CGEIT レビュー マニュアル、第 7 版、2019 年、p. 90-91; 効果的なテクノロジー リスク管理のための KRI と KPI の統合; IT ガバナンスのパフォーマンス測定指標; 組織におけるエンタープライズ IT ガバナンスの現状と影響: 国際調査の主要な調査結果。