Une entité peut être interne ou externe à l'entreprise : une entité interne représente un élément de l'organisation d'une entreprise tel qu'une direction, un service ou un poste de travail. Il est défini à un niveau plus ou moins fin en fonction de la précision à fournir sur l'organisation (cf type d'acteur). Ex : la direction financière, la direction commerciale, le service marketing, l'agent commercial. Une entité externe représente un organisme qui échange des flux avec l'entreprise. Ex : Client, Fournisseur, Administration.

Un processus métier représente un système qui fournit des produits ou des services à un client interne ou externe à l'entreprise ou à l'organisation. Aux niveaux supérieurs, un processus métier définit une structuration et une catégorisation du métier de l'entreprise. Il peut être décomposé en d'autres processus. Le lien vers les processus organisationnels permet de décrire l'implémentation réelle du processus métier dans l'organisation. Un processus métier peut également être détaillé à l'aide d'une vue fonctionnelle.

Un processus organisationnel décrit la marche à suivre pour mettre en oeuvre tout ou partie du processus d'élaboration d'un produit ou un flux.

Un objectif est un but que l'on cherche à atteindre ou la cible visée pour un processus ou une opération. Il permet de mettre en évidence les points que l'on veut améliorer pour ce processus ou cette opération.

Une exigence est un besoin ou une attente formulés explicitement, imposés comme une contrainte à respecter dans le cadre d'un projet de certification, d'organisation ou de modification du système d'information d'une entreprise.

Une application est un ensemble de composants logiciels qui constituent un tout cohérent au regard des développements informatiques.

Une ligne métier est une compétence ou un regroupement de compétences qui est d'intérêt pour l'entreprise. Elle correspond, par exemple, à des grands segments produits ou à des canaux de distribution ou à des activités métier.

Un type de risque définit une typologie de risque normalisée dans le cadre d’une organisation.

Un facteur de risque est un élément qui contribue à l’apparition d’un risque ou qui en est le déclencheur. Un même facteur de risque peut être à l’origine de plusieurs risques différents. Exemples : l’utilisation d’un produit chimique dangereux, la complexité d'une application, la taille d'un projet, le nombre d'intervenants, la nouveauté technique, l'absence d'assurance qualité, le manque de rigueur dans la définition des exigences, etc.

Une conséquence de risque peut être positive ou négative. Elle est associée à un type qui permet de la caractériser, par exemple : image, environnement, employés.

Un incident est un fait de source interne ou externe ayant une incidence sur l'organisation. Il constitue l’élément de base de la collecte des données concernant le risque opérationnel.

Un type de risque définit une typologie de risque normalisée dans le cadre d’une organisation.

Un facteur de risque est un élément qui contribue à l’apparition d’un risque ou qui en est le déclencheur. Un même facteur de risque peut être à l’origine de plusieurs risques différents. Exemples : l’utilisation d’un produit chimique dangereux, la complexité d'une application, la taille d'un projet, le nombre d'intervenants, la nouveauté technique, l'absence d'assurance qualité, le manque de rigueur dans la définition des exigences, etc.