La gestion des risques IT va bien au-delà de la seule sécurité technique. Pourtant, jusqu'à il y a peu de temps, les référentiels de bonnes pratiques se concentraient quasi-exclusivement sur la seule sécurité. L'Isaca, dont le chapitre français est l'Afai (Association française de l'audit et du conseil informatique), a publié un référentiel inspiré de Cobit en 2009, Risk IT. L'AFAI a récemment publié ce référentiel en version française (une centaine de pages) et propose désormais des livrets (comme « Le guide utilisateur Risk IT », 140 pages) et des certifications dans la langue de Molière.

Les normes et référentiels de gestion des risques au sens large sont, de toutes les façons, très récentes : le référentiel de la Fédération Européenne des Associations de Risk Managers (FERMA 2003) ou le COSO ERM (Entreprise Risk Management, 2004) par exemples, suivis des normes ISO 31000 (principes du management du risque) et ISO 31010 (techniques d'évaluation du management du risque). En matière de TIC, la norme de référence, ISO 27000, est centrée sur la seule sécurité.

Risk IT se veut être un référentiel complet intégrant non seulement la sécurité mais aussi le risque projet et le risque d'exploitation. Il repose sur trois piliers : la gouvernance, l'évaluation et le traitement des risques. Chaque pilier se divise en 150 activités.