Les facteurs internes comprennent notamment la complexité de l'organisation, la nature des activités exercées, le professionnalisme des personnels, la qualité des systèmes et la sécurité des réseaux et des systèmes d'information.

Les facteurs externes comprennent notamment les conditions économiques et les évolutions réglementaires, les cybermenaces et les prestations externalisées de services, notamment celles liées aux technologies de l'information et de la communication.