Matrice d'évaluation du risque avec trois niveaux : faible (acceptable en l'état), moyen (tolérable sous contrôle) et élevé (inacceptable). Chaque niveau inclut des recommandations spécifiques : pour le niveau de risque faible la recommandation est qu'il n'y a aucune action à entreprendre. Pour le niveau moyen, un suivi en termes de gestion du risque est à mener et des actions sont à mettre en place dans le cadre d'une amélioration continue sur le moyen et long terme. Et pour le niveau élevé, des mesures de réduction du risque doivent impérativement être prises à court terme. Dans le cas contraire, tout ou partir de l'activité sera refusé.