Innymi słowy, muszą wdrożyć system zarządzania ryzykiem, którego trzema elementami są:
informacje: podmiot musi mieć dostęp do informacji o drewnie i produktach z drewna, o kraju pozyskania (oraz w stosownych przypadkach o regionie pozyskania drewna i zezwoleniu na jego pozyskanie), o gatunku, ilości i dostawcy, jak też do informacji potwierdzających zgodność z ustawodawstwem krajowym;
ocena ryzyka: podmiot powinien ocenić ryzyko pojawienia się nielegalnie pozyskanego drewna w jego łańcuchu dostaw na podstawie powyższych informacji oraz uwzględniając kryteria określone w rozporządzeniu;
ograniczanie ryzyka: gdy z oceny wynika, że ryzyko pojawienia się nielegalnie pozyskanego drewna w łańcuchu dostaw nie jest nieistotne, ryzyko to można ograniczyć przy użyciu dodatkowych środków, na przykład wymagając od dostawcy dodatkowych informacji i weryfikacji.
Podmiot może opracować własny system zasad należytej staranności lub skorzystać z systemu stworzonego przez organizację monitorującą.