对于每一类具体的风险，可以根据风险高低程度分为三个级别。也就是说，针对某个重大活动，把它涉及的所有种类的风险按照高、中、低分为三档。
所谓高风险，就是说活动相对于企业的资源而言规模很大，或交易数目巨大，或活动性质本身异常复杂等，这种活动能够对组织造成巨大的损失。当然这里强调的是一种可能性。这一般性风险，也就是中度风险，是指相对于企业资源或其同组群体而言，活动的地位比较一般，交易数量一般，活动本身比较典型或传统的情况。因此，尽管中度风险的活动有可能对企业造成损失，但损失可以通过企业正常的商业运作而得到化解，不至于对企业造成重创。
低风险，指活动的数量、规模和性质即使使得内部控制有缺陷，损失的可能性仍然是微不足道的；即使损失发生了，也不会对企业的总体财务和经营状况产生重大影响。金融机构的监管者由于担心金融机构的风险失控会波及其他单位或个人，因而对这些机构的风险控制通常有严格的规定和检查措施。对于一般企业而言，监管者可能对公司的风险控制没有太多的具体规定或检查措施，但是企业如果希望白身可持续发展，希望越做越大、越做越强、越做越稳，就必须对自己有一套完善的风险管理体系。
