Una vez que tenemos en nuestras manos información acerca de esas situaciones o potenciales circunstancias adversas, que puede enfrentar nuestra empresa como parte del diseño e implementación de un programa de administración de riesgos, el siguiente paso es hacer una correcta clasificación de esos datos que serán la base para que las diferentes áreas nos pongamos a trabajar, cada uno en su trinchera, a fin de asegurarnos que existen actividades a lo largo y ancho del negocio para mantenerlo blindado y seguro de que ninguno de esos riesgos identificados se va a materializar.

Lo primero es contar con un inventario de riesgos, que es una lista de las diferentes situaciones potencialmente adversas que enfrenta la entidad. Se puede estructurar el inventario de riesgos por categoría para proporcionar definiciones estándar para diferentes riesgos, agrupar riesgos similares, como riesgos financieros, riesgos comerciales o riesgos de cumplimiento (o más ampliamente, obligaciones). Dentro de cada categoría se pueden incluso definir subcategorías más detalladas, conforme sea necesario. El inventario de riesgos se debe actualizar para reflejar los cambios identificados por la administración periódicamente o cuando sucede una situación importante que se integra a los objetivos y/u operaciones de la empresa.

Es recomendable estandarizar la terminología que se va a utilizar en todos los niveles de la organización, comunicar la manera en que se pueden agrupar los riesgos relacionados o comunes entre áreas, divisiones, unidades de negocio, etc.

El impacto es el resultado o efecto de un riesgo. Puede haber una variedad de posibles impactos asociados con un riesgo. El impacto de un riesgo puede ser positivo o negativo en relación con la estrategia o los objetivos comerciales.  El impacto puede verse reflejado en la operación de manera cualitativa o cuantitativa.  Definitivamente la segunda brinda mayores datos tangibles para que ser analizados, sin embargo, la parte cualitativa da contexto que puede ser de gran utilidad para robustecer los análisis de datos numéricos.

La probabilidad, se refiere a la posibilidad de que el riesgo identificado que estamos evaluando se producirá dentro de un período específico de tiempo que puede ser desde que estamos seguros que bajo las circunstancias actuales del negocio se está dando o se va a dar una o múltiples veces en nuestra operación diaria o durante la semana, el mes los siguientes 6 meses uno o tres años, etc. Se debe establecer la postura de lo que consideramos puede suceder y afectar los resultados de nuestra empresa y sus objetivos  o estrategia.

Con estos dos elementos podemos evaluar los riesgos  y cambiar el orden de la lista o inventario de riesgos del que hablamos al inicio. Si con esta mecánica de evaluación logramos que se refleje la sensibilidad de la administración sobre los riesgos que más le importan por las repercusiones que pudieran tener en el logro de los objetivos de corto, mediano o largo plazo,  entonces podremos utilizar este resultado como insumo para que tanto las áreas de negocio, como las de control y vigilancia, asignemos de mejor manera los recursos con los que contamos para hacer nuestro trabajo, el tiempo de nuestros equipos, los recursos financieros para viáticos o para contratar el apoyo de especialistas en diferentes temas, la adquisición de herramientas tecnológicas que hagan más eficiente y efectivo nuestro trabajo enfocado en esos riesgos cuyo impacto es muy alto o crítico, o esos otros que pueden originarse o materializarse más veces en nuestra operación.

La priorización se relaciona directamente con la gravedad del riesgo en comparación con el apetito por el riesgo, dando mayor importancia a los que se acercan o exceden el apetito de riesgo de la empresa.