3. La identificación de las amenazas y evaluación de la vulnerabilidad de la empresa; la cual debe ser anual; Tener la custodia de las historias clínicas a cargo de una institución prestadora de servicios en SST o del médico que practica las evaluaciones m&e