La EPIP deberá incluir como mínimo los siguientes cuatro elementos, que por cuestiones de lógica los he numerado en el orden en que se facilita hacer un adecuado análisis de riesgos. Pero antes de hacerlo le recomiendo que conozca el contexto en el cual opera la instalación portuaria y establezca los criterios para hacer el análisis de riesgos.

1. Identificación y evaluación de los bienes e infraestructuras que es importante protegerAquí no es solo hacer un listado de los bienes e infraestructuras, sino que hay que evaluar cada uno desde la perspectiva de la protección, es decir cómo están protegidos, y para hacerlo le recomiendo hacer un estudio de seguridad física, esto le facilita hacer el paso siguiente de identificar las vulnerabilidades. Aunque el código no lo dice es “vital” para la protección de la instalación portuaria, hacer un análisis de riesgos de todos los procesos relacionados con la manipulación de la carga (cadenas internas de suministro de los procesos de exportación e importación).
2. Identificación de los puntos débiles, incluidos los relacionados con el factor humano, de las infraestructuras, políticas y procedimientos.Evalúa  adecuadamente cada bien o infraestructura liste aquí todas las vulnerabilidades. Esta información le facilitara hacer el paso siguiente porque es el insumo necesario para analizar riesgos.
3. Identificación de las posibles amenazas para esos bienes e infraestructuras y la probabilidad de que se concreten, a fin de establecer medidas de protección y el orden de prioridad de las mismas
   

   Identifica todas las posibles situaciones de riesgo de cada bien o infraestructura, pero no de forma genérica, sino con el máximo detalle, incluida las posibles consecuencias, ya que se le facilita hacer su análisis.  Identifique también organizaciones y personas que hacen parte de esa amenaza y que tienen la capacidad, interés e intención de llevar a cabo esas situaciones de riesgo. Esto le facilitara dirigir los esfuerzos de protección donde tienen que aplicarse. Con esta información y la listada en el numeral dos ya tiene el insumo básico para hacer el análisis de riesgos con los criterios previamente establecidos. Lleve a cabo la valoración de los riesgos contra los criterios previamente establecidos y definidos por la organización, esto le ayudara a listar los riesgos en orden de criticidad y le ayudara a concentrar los esfuerzos en protección.

4. Identificación, selección y clasificación por orden de prioridad de las medidas para contrarrestar las amenazas y de los cambios de procedimientos y su grado de eficacia para reducir la vulnerabilidad. Define el esquema de protección que incluya las medidas y procedimientos adecuados para dar tratamiento a las situaciones de riesgo valoradas. Seleccione y clasifique las medidas por tipo y defina el orden de prioridad de las mismas. Haga de nuevo el análisis de riesgos con estas medidas para determinar su grado de eficacia y establecer el riesgo residual. Se recomienda hacer un análisis costo beneficio de cada medida para que pueda justificar la inversión en protección. Las medidas y procedimientos de protección aprobadas por la gerencia harán parte del plan de protección de la instalación portuaria (PPIP). Tanto la EPIP como el PPIP deben ser aprobados por la autoridad marítima y actualizados periódicamente.