В ISO 31000 идентификация, анализ и оценка рисков проводятся последовательно. Идентификация риска — это систематический процесс понимания того, что может произойти и при каких обстоятельствах. Отвечают на вопросы: что может случиться, как, где, почему. Анализ риска — понимание причин и последствий, а также того, что тот или иной риск будет означать с точки зрения целенаправленной деятельности организации, как именно он угрожает достижению целей. Оценка риска — определение, какие риски нуждаются в обработке и в какой очередности. Проводится качественная или количественная оценка риска, включающая две составляющие: вероятность и ущерб. Затем проводится ранжирование с учётом проведённых оценок и принимается решение о приемлемости или неприемлемости риска. После оценки переходят к этапу реагирования на риски.