Mitentscheidend dafür, ob der Betrieb abgegeben oder weiterhin selbst durchgeführt werden sollte, ist, welche Applikationen, IT-Prozesse und Geschäftsprozesse für das Unternehmen in punkto Ablaufsicherheit, Security und/oder Compliance kritisch sind. So wird das Unternehmen bei kritischen Applikationen und Prozessen dazu tendieren, sie zumindest im eigenen Haus zu behalten, eventuell sie sogar selbst zu managen und zu betreiben. Für die Dienstleistungsalternative „Remote-Management und -Betrieb“ müssen die Unternehmensverantwortlichen die Sensibilität der Applikationen einschließlich der Daten, der IT-Prozesse und Geschäftsprozesse genau kennen, um die potenziellen Sicherheitsrisiken durch Remote-Zugriffe abwägen zu können. Teil des Assessment-Workshops muss es deshalb sein, gemeinsam mit der IT-Abteilung und den anderen Fachbereichen zu erfassen, welche Rolle genau einzelne Systeme und Applikationen für bestimmte Prozesse beziehungsweise Prozess-abschnitte spielen und welchen betriebswirtschaftlichen und strategischen Stellenwert diese Prozesse für das Unternehmen haben. Mit dieser Recherche wird für den Fall des Remote-Managements und -Betriebs auch transparent, in welcher Art und Weise und unter welchen Sicherheitsvoraussetzungen der Dienstleister die Applikationen betreiben sollte.
Auch für den Service-Provider hat diese eingehende Recherche Vorteile: Er, der im Fall von Managed-Services die Risiken für die angebotenen Services trägt, weiß wie, unter welchen Investitionen und Aufwendungen sowie zu welchen Kosten er die geforderten Leistungen erbringen kann. Allerdings macht es eine zunehmende Verkettung von Prozessen – IT- wie Geschäftsprozessen – und eine zunehmende Verzahnung der IT-Infrastruktur immer schwieriger, weniger kritische Abschnitte, Applikationen und Infrastrukturteile herauszulösen, um deren Betrieb extern durchführen zu lassen. Einfacher ist es im Remote-Management und -Betrieb, weil in diesem Fall die komplette IT-Architektur im Unternehmen verbleibt.