Un activo es un recurso de valor que requiere protección, es necesario para la continuidad del negocio y/o es difícil de reemplazar cuando se le requiere.

Un activo puede ser tangible: Edificios, instalaciones, equipos. O intangible: Operaciones, Procesos Industriales, información o reputación.

Para entender la criticalidad del activo se requiere entender la misión de la organización, los recursos que son necesarios para cumplir con la misión.

Cómo esos recursos dependen de otros para lograr los objetivos y cómo la organización puede mantener la continuidad del negocio si esos recursos se pierden.

En términos generales, el valor de un activo puede ser considerado como un costo de reemplazo económico de infraestructura y equipamiento.

El control de riesgo comienza, con la identificación y posterior clasificación del riesgo. Para lograr esta tarea se necesita examinar o estudiar todas las actividades y relaciones de la empresa y desarrollar respuestas a estas consideraciones básicas:

Activos ¿Qué empresa posee, opera, presta, controla, compra, vende, repara, diseña, produce, fabrica, ensaya, analiza, mantiene tiene en custodia o es responsable por...?

Exposición ¿A que está expuesta la compañía que pueda causar o contribuir al daño, robo, o pérdida de propiedad u otros activos de la compañía, o que puedan causar o contribuir a daños físicos de los empleados de la empresa u otros?

Pérdidas ¿Qué conocimiento empírico se dispone para establecer la frecuencia, magnitud y alcance de pérdidas sufridas en el pasado por esta y por otras compañías cercanas, realizando un servicio similar o fabricando el mismo o similar producto?

Para lograr lo anterior son necesarias las siguientes herramientas:

1. La habilidad de dirigir entrevistas. 2. La habilidad de conducir inspecciones. 3. Las observaciones de campo de las operaciones, procedimientos, recursos humanos y electrónica aplicada en sistemas de seguridad; 4. La habilidad para identificar, obtener y analizar los registros.

La identificación de todos los activos de la compañía, conjuntamente con un historial de exposición de pérdida para esta compañía y compañías semejantes localizadas y comprometidas, será normalmente suficiente para identificar la mayor parte de los riesgos que se corren.