De laatste stap in de analyse op het niveau van de organisatie is een kwetsbaarheidsanalyse. Feitelijk is dit een "gap" analyse. De adviezen uit de procesanalyse en de systeemanalyse(-s) zijn input. Nagegaan wordt in hoeverre deze maatregelen zijn geimplementeerd in de organisatie.
Vulnerabilty Analysis geeft aan welke maatregelen nog moeten worden genomen en waar de "gaps" zitten. Een en ander wordt weergegeven in een door de programmatuur gegenereerd implementatieplan.