Pour construire une cartographie des risques, il faut pour chaque risque recensé déterminer le niveau de criticité du risque en le qualifiant de « fort », « moyen » ou « faible ». Ce travail permet de hiérarchiser les risques. Pour ce faire, on croise deux critères : l’impact c’est-à-dire les conséquences du risque s’il survient et la  probabilité de cette survenance. Le premier critère est l’impact du risque en cas de survenance. Il est évalué en fonction des conséquences de la survenance du risque en termes d’enjeux financiers, sociaux, de légalité, d’efficience, d’image… Le second critère est celui de la probabilité de survenance. Pour les processus  répétitifs et quantifiables pour lesquels il existe des dispositifs de contrôle interne ou de qualité qui mesurent les écarts (erreurs, réclamations…), la probabilité est le ratio : nombre d’écarts/nombre d’opérations traitées. Pour les processus plus qualitatifs, la probabilité est évaluée par la connaissance que les acteurs ont du processus, les incidents recensés et les constats de l’audit interne.