O formulário de identificação de risco contém várias fases para o fluxo de trabalho. Quando uma aplicação é criada em GRC como uma entidade, um questionário é enviado ao responsável pela aplicação de TI. O questionário é útil para os gerentes de risco identificarem ameaças e controles de mitigação.