Att en verksamhet har en bra rutin för att rapportera incidenter och sårbarheter (Incident reporting and handling) samt att dessa analyseras och åtgärdas är viktigt för att kunna veta vilka risker som verksamheten är utsatt för. Det är också ett bra verktyg för verksamhetsansvariga att få kännedom om de risker som finns inom det egna ansvarsområdet. Incidentrapporteringen kan också ge information om det finns mer organiserade attacker mot företaget och händelser som har ett sammanhang men som inte direkt är kopplade till varandra eller händer på olika geografiska platser och därför svåra att se att de har ett samband.