แนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยระบบสารสนเทศของสำนักงานปลัดกระทรวงพาณิชย์ พ.ศ.2558 ซึ่งในเอกสารแนบท้ายของแนวนโยบายและแนวปฏิบัติฯ ได้กำหนดให้มีการตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศอย่างน้อยปีละ 1 ครั้ง โดยผู้ตรวจสอบภายในหน่วยงานหรือภายนอก เพื่อให้หน่วยงานทราบถึงระดับความเสี่ยงและระดับความมั่นคงปลอดภัย