A NBR ISO 31000, de 2009, na subseção 5.3.5, diz que convém que a organização defina os critérios a serem utilizados para avaliar a significância do risco e que os critérios reflitam os valores, objetivos e recursos da organização. Ao definir os critérios de risco, convém que aos fatores a serem considerados inclua o seguinte aspecto: