La prise de conscience du contrôle des risques est insuffisante et la prise de conscience de la gestion des risques est faible. En se basant trop sur les audits internes, on néglige les contrôles réciproques entre postes et entre services. Une attention accrue a été accordée à la manière de faire face aux contrôles externes et une attention insuffisante a été accordée à la stricte application et à l’efficacité des systèmes de contrôle. Le système de gestion de l’évaluation des risques est inadéquat.