好了，言归正传。风险的辨识需要洞烛机先，并根据查检表的内容逐项进行检查，依项目不同阶段建立风险清单。在完成了风险列表的建立后，因为项目的人力、时程、预算…等因素限制，可能无法让项目经理得以「同时」放手的去化解项目的种种风险。这个时候，如何在风险清单中制定相关风险的优先等级？如何自危机最大的风险着手规避行动？对项目经理将是一大考验。
「发生机率」与「影响程度」为评定风险优先等级的二个重要因子，发生机率指的是该风险会发生的可能性，机率越高代表发生的可能性越大。影响程度指的是风险发生后对项目进行产生冲击的严重程度，影响程度越高表示对项目的冲击越深。正规的做法会强烈的建议对这二个因子订定可被评定其优先等级的量化指针，这个量化指标须要有明确的评估准则去支持。以发生机率而言，比如说：发生机率在百分之十以下，或是发生机率超过百分之八十。影响程度则举例如：项目总进度将落后二个月，或者是项目人力将超支百分之二十。每一项评估准则都会被赋予定量化的数值，这二个因子经过评估后所产生的定量化数值(大部分是把这二个因子的定量化数值相乘，称之为风险曝光程度)，会直接影响该风险的优先等级，数值越大优先等级则越高。这样对风险认定的行为，我们称他做「风险评估」，针对每一项可能发生的风险，都必须进行客观的风险评估，并将其结果予以记录，作为未来进行避险规划，产生具体降低风险行动(Action Plan)的有效依据。
上面的这段文字，看起来文绉绉的，也许很多人觉得好像是雾里看花越看越花，但实际上风险评估的手段就是如此进行的。而且大部分的大型系统集成项目，就我个人的经验，他们都执行得非常彻底，每一项潜在的风险都会受到严密的评估与监控。不过，一定有人会问：要如何客观的去制订各项评估标准订量化的数值呢？我在这里无法给各位肯定的答案，因为这是一个没有标准答案的问题，越客观的问题越难找到标准解答。我也只能「客观的」回答：在你的「主观」认定下将发生机率高、影响程度深的评估准则，赋予较大的定量化数值，然后去考虑风险曝光程度在某个数值以上的必须第一时间去处理。
请各不要把风险评估行动看得如此艰深，总的来说要进行风险管理先要进行风险的辨识，辨识的方法可以藉由已建立的「项目风险来源与种类查检表」协助你去思考，有了风险清单之后便可进一步去评估风险。风险评估的目的就是要针对风险清单里的各项风险，采取比较科学的方法去衡量他的轻重缓急，重的急的优先处理，轻的缓的有空再说。只要建立起这样正确的观念，要掌握项目的风险并不是一件难事，项目经理可以试着去做做看。
在大家了解了如何去辨识风险、评估风险之后，下一次我们将探讨一下，如何面对这些已被评估的风险？如何着手拟定避险策略？如何采取降低风险甚至规避风险的行动？