Poziomy różnią się wg ramy, ale powszechnie przyjmuje się:
- Ryzyko nieistotne: bardzo niskie prawdopodobieństwo/skutek; minimalne działania.
- Ryzyko niskie: stosunkowo niskie; konkretne kontrole/monitoring.
- Ryzyko umiarkowane: średnie; istotniejsze kontrole i monitoring.
- Ryzyko wysokie: dość wysokie; rygorystyczne kontrole, aktywne zarządzanie.
- Ryzyko ekstremalne: ciężkie, pilne, bardzo wysokie prawdopodobieństwo/skutek; natychmiastowa uwaga, ścisłe kontrole.
Definicje mogą się różnić między branżami i organizacjami.