ดำเนินการอย่างน้อย ดังนี้ (ก) ประเมินผลลัพธ์ที่ได้จากการวิเคราะห์ความเสี่ยง ได้แก่ ค่าโอกาสและผลกระทบ (likelihood และ potential impact) กับเกณฑ์ความเสี่ยง (risk criteria) ที่กำหนดไว้ เพื่อระบุระดับค่าความ

เหตุการณ์ความเสี่ยง กำหนดระดับโอกาสเกิดเหตุการณ์ความเสี่ยง (likelihood) โดยพิจารณาจากลักษณะของธุรกิจ ดังตารางต่อไปนี้ ทั้งนี้ หากผู้ประกอบธุรกิจมีการดำเนินธุรกิจมากกว่า 1 ประเภท ให้ใช้ likelihood ของธุรกิจ

โอกาสที่จะส่งผลกระทบ (potential impact) ต่อการดำเนินธุรกิจ ทรัพย์สิน ชื่อเสียง และการปฏิบัติตามกฎหมายหรือระเบียบที่เกี่ยวข้องกับองค์กร แต่ไม่มีความเร่งด่วนที่จะต้องแก้ไขในทันที ต่ำ ข้อบกพร่อง/ข้อตรวจพบ