Kriteria risiko merupakan ukuran yang ditetapkan organisasi termasuk perusahaan untuk digunakan dalam menilai tingkat eksposur risiko. Kriteria risiko terdiri dari kriteria kemungkinan risiko dan kriteria dampak risiko. Kriteria kemungkinan risiko adalah kriteria untuk mengukur tingkat kemungkinan terjadinya suatu risiko, sedangkan kriteria dampak risiko berfungsi mengukur tingkat dampak akibat terjadinya suatu risiko. Area dampak risiko merupakan wilayah/aspek/item yang ditetapkan organisasi sebagai yang terdampak dan perlu diukur tingkat keterpaparannya (tingkat eksposur risiko). Contoh Risk Assessment Perusahaan.

Kriteria dampak risiko dapat diklasifikasikan berdasarkan level dampak atau konsekuensi yang diperlukan oleh setiap organisasi. Contoh level dampak/konsekuensi dalam kriteria risiko adalah insignifikan (level 1), minor (level 2), moderat (level 3), signifikan (level 4), dan katastropik (level 5). 

• Kriteria dampak risiko dapat dikategorikan insignifikan apabila risiko pada level tertentu tidak berdampak bagi organisasi/perusahaan.
• Kriteria dampak risiko dapat dikategorikan minor apabila risiko pada level tertentu memberikan sedikit dampak bagi organisasi. 
• Kriteria dampak risiko dapat dikategorikan moderat apabila risiko pada level tertentu memberikan dampak yang membuat organisasi mulai memperhatikan dan membuat langkah-langkah mitigasinya. 
• Kriteria dampak risiko dapat dikategorikan signifikan apabila suatu risiko pada level tertentu memberikan dampak yang signifikan dapat berupa kerugian dari segi finansial, citra organisasi, hukum, dan lain-lain sehingga diperlukan perhatian khusus dari organisasi. 
• Kriteria dampak risiko dapat dikategorikan katastropik apabila risiko pada level tertentu memberikan dampak yang memengaruhi keberlangsungan suatu proses atau suatu organisasi sehingga perlu segera dilakukan langkah-langkah mitigasinya.

Kriteria kemungkinan risiko juga dapat dibagi ke dalam 5 tingkatan/level, yaitu tingkat kemungkinan risiko “sangat kecil”, “kecil”, “sedang”, “besar”, dan “sangat besar.” 

Contoh penetapan tingkat kemungkinan adalah sebagai berikut:

Selanjutnya, organisasi juga perlu menentukan peringkat eksposur risiko yang digunakan untuk menetapkan tingkat eksposur dan eskalasi tindak lanjutnya. Organisasi dapat mengelompokkan (misalnya) ke dalam 4 zona risiko yakni zona hijau untuk berbagai risiko dengan level rendah, zona kuning untuk berbagai risiko dengan level moderat, zona oranye untuk berbagai risiko dengan level tinggi, dan zona merah untuk berbagai risiko dengan level ekstrem. Sebagai penutup, adapun untuk setiap zona dapat ditetapkan tingkat eskalasi mitigasi risikonya dengan contoh sebagai berikut:

Baca juga 3 Menit Paham Penetapan Critical Business Function.