It consists of identifying threats (or risk causes), assessing the effectiveness of existing controls to face those threats, determining the risks' consequence(s), prioritizing the risks by rating the likelihood and impact, classifying the type of risk and selecting an appropriate risk option or risk response.
وهي تتألف من تحديد التهديدات (أو أسباب المخاطر) ، وتقييم فعالية الضوابط الموجودة لمواجهة تلك التهديدات ، وتحديد عواقب المخاطر ، وتحديد ترتيب المخاطر من خلال تقييم الاحتمالية و العواقب ، وتصنيف نوع المخاطر واختيار رد الفعل المناسب من بين خيارات المخاطر أو استجابة المخاطر.