As regras de classificação de riscos são especificadas pela organização ao final do projeto no processo de “Finalizar a classificação dos riscos”. As definições dos níveis de probabilidade e impacto com base na matriz podem ser realizadas uma única vez, já que são iguais para diferentes projetos de uma mesma organização.

Especifica as combinações de probabilidade e impacto que resultam em uma classificação dos riscos como de prioridade baixa, moderada ou alta. A área cinza escuro ( com os números maiores ) representa alto risco, a área cinza médio ( com os números menores ) representa baixo risco e a área cinza claro ( com os números intermediários ) representa risco moderado.

As ameaças que têm um impacto forte nos objetivos, caso ocorram, e que estão na zona de alto risco ( cinza escuro ) da matriz podem exigir uma ação prioritária e estratégias agressivas de resposta.

As ameaças que estão na zona de baixo risco ( cinza médio ) podem não exigir uma ação proativa de gerenciamento, além da inclusão em uma lista de observação ou do acréscimo de uma reserva para contingências.

As oportunidades na zona de alto risco ( cinza escuro ) que podem ser obtidas mais facilmente e oferecem o maior benefício devem ser abordadas primeiro. As oportunidades na zona de baixo risco ( cinza médio ) devem ser monitoradas.