ต่อความเสี่ยง หรือเจ้าของความเสี่ยง (risk owner) (ข) ระบุการควบคุมที่มีอยู่ในปัจจุบัน (existing control) (ค) วิเคราะห์โอกาสหรือความถี่ที่จะเกิดเหตุการณ์ความเสี่ยง (likelihood) และความมีนัยสำคัญหรือผลกระ

เหตุการณ์ความเสี่ยง กำหนดระดับโอกาสเกิดเหตุการณ์ความเสี่ยง (likelihood) โดยพิจารณาจากลักษณะของธุรกิจ ดังตารางต่อไปนี้ ทั้งนี้ หากผู้ประกอบธุรกิจมีการดำเนินธุรกิจมากกว่า 1 ประเภท ให้ใช้ likelihood ของธุรกิจ