При анализе рисков учитываются три уровня вероятности: 1) Вероятность появления источника риска или угрозы, которая определяется внешними факторами и средой, в которой функционирует организация. 2) Вероятность того, что появление угрозы приведет к наступлению нежелательного события, что зависит от уровня уязвимости системы. 3) Вероятность того, что произошедшее событие вызовет конкретные негативные последствия для организации, что может варьироваться в зависимости от эффективности системы реагирования и других внутренних факторов. Каждый уровень требует отдельной оценки для формирования комплексной картины риска.