Dựa trên các rủi ro liệt kê trong Mẫu đăng ký rủi ro, cán bộ rủi ro của từng bộ phận trong công ty sẽ đánh giá về khả năng hay xác suất rủi ro đó xảy ra và mức độ tác động (hoặc khối lượng tổn thất). Trên cơ sở đó sẽ phân loại và xếp hạng từng loại rủi ro để có những biện pháp xử lý phù hợp. Nội dung này được thực hiện tuần tự như sau:
Xác định xác suất xảy ra các rủi ro: đây là việc cán bộ QLRR sẽ đo lường số
lần xuất hiện các sự kiện tổn thất, hay nói cách khác là đánh giá tần suất rủi ro xảy ra. Việc đánh giá này dựa trên dữ liệu lịch sử hàng ngày trong khuôn khổ thời gian quy định cho từng loại rủi ro, nếu như dữ liệu là sẵn có. Ở đây, cán bộ QLRR cần sử dụng tất cả các dữ liệu sẵn có của cơng ty và các hệ thống bên ngoài hoặc các chuỗi dữ liệu thời gian bên ngồi nếu có các chuỗi này. Nếu như một loại rủi ro nào đó chưa bao giờ gây ra tổn thất nghiêm trọng cho bản thân công ty nhưng lại gây ra ở các công ty khác, cán bộ rủi ro cần sử dụng mọi dữ liệu sẵn có từ những lần xuất hiện đó để quyết định khả năng xảy ra rủi ro đối với cơng ty mình. Nếu một rủi ro cụ thể nào được nhận dạng mà chưa từng gây ra tổn thất cho công ty hoặc cho cơng ty khác, cán bộ rủi ro có thể xếp xác suất thấp nhất cho rủi ro đó.
Xác định mức độ ảnh hưởng của các rủi ro. Sau khi đánh giá tần suất các loại rủi ro tác động đến công ty. Cán bộ QLRR sẽ đánh giá mức độ ảnh hưởng của rủi ro đến hoạt động kinh doanh của công ty thơng qua một số thơng số tài chính có thể bao gồm: ảnh hưởng tới doanh thu, lợi nhuận biên và giá trị kinh tế gia tăng, hoặc các thơng số định tính: các cơng khai đại chúng tiêu cực, cường độ gián đoạn kinh doanh và mức độ gây thiệt hại đối với mơi trường. Mỗi cơng ty sẽ tự tìm ra
cách tính tốn xác suất và có thể áp dụng nhiều kỹ thuật và phương pháp phân tích rủi ro khác nhau, ví dụ: Điều tra thăm dị thị trường; Xây dựng mơ hình phụ thuộc; Phân tích SWOT (Điểm mạnh, điểm yếu, cơ hội, thách thức); Phân tích cây sự kiện; Phân tích BPEST (Doanh nghiệp, chính trị, kinh tế, xã hội, cơng nghệ); Mơ hình hóa giải pháp thực tế; FMEA (phân tích thất bại và phân tích tác động), ...
Đánh giá mức độ rủi ro (Risk Exposur)e. Một đánh giá đầy đủ về tác động
tiềm ẩn của một rủi ro xảy ra phải được hiệu chỉnh bằng cách giám sát tần suất xảy ra và thời điểm xuất hiện rủi ro như sau:
Risk Exposure = Risk Impact * Risk Probability
Phân loại rủi ro theo thứ tự ưu tiên. Hoạt động tiếp theo là xếp hạng các rủi
ro đã được nhận diện để xác định rủi ro nào là trọng yếu từ danh mục rủi ro của công ty dựa vào các tiêu chí đánh giá rủi ro đã được xác định trước nhằm tập trung quản lý hiệu quả. Những rủi ro này được phân loại vào nhóm với tên gọi là nhóm rủi ro trọng yếu đối với doanh nghiệp. Các cấp quản lý cấp cao của doanh nghiệp như HĐQT hoặc Ban Giám đốc có thể tập trung vào quản lý các rủi ro trọng yếu đã xác định và các rủi ro tiềm tàng với mức độ ảnh hưởng thấp có thể được ủy quyền xuống cho chuyên viên phân tích rủi ro