Pasal 18

(1) Risiko sisa sebagaimana dimaksud dalam Pasal 13 huruf e digunakan untuk menganalisis perbedaan kriteria Risiko antara peringkat Risiko dan toleransi Risiko untuk mengetahui: a. potensi terjadinya Ancaman dalam bentuk eksploitasi Kerawanan serta sistem kendali yang ada; b. informasi sebagai dasar evaluasi untuk menentukan tindakan atau opsi rekomendasi yang diperlukan dalam rangka memitigasi atau mencegah terjadinya Risiko dan menentukan Risiko Sisa. (2) Risiko sisa harus menunjukkan Risiko yang terjadi sebelum, saat, atau setelah pelaksanaan pengendalian Risiko. (3) Risiko sisa diperoleh melalui estimasi atas tingkat Risiko sebelum dilakukan tindakan mitigasi Risiko dibandingkan tingkat Risiko pada saat dilakukan tindakan mitigasi Risiko maupun setelah perbaikan sistem kendali atas Kerawanan yang terjadi. (4) Hasil estimasi Risiko sisa dibandingkan dengan toleransi Risiko digunakan sebagai dasar pelaksanaan Pengendalian Risiko.