估風險對策

機關必須根據風險的降低程度以及所創造的額外利益及機會來評估風險對策。可以同時考慮數個風險對策，可個別應用之或將它們組合起來。原則如下：

(1)在選擇最適當的對策時

應考慮執行對策所需的成本以及從中可獲得的利益兩者之間的平衡。一般來說，管理風險所需的成本要相等於從中可獲得的利益。

(2)當一個對策只需花較少的費用

但可以大大降低風險時，機關應該執行該對策。其他的改善對策可能不夠經濟，因此必須審慎判斷其必要性。決策時應該仔細考慮發生機率低但影響嚴重的風險，這些風險的處理方法花費較高，通常無法通過嚴格的經濟評估。

(3)一般來說

風險的負面影響應該儘可能地降到最低。如果風險的等級很高，但冒險可能會帶來相當大的機會(如應用新的科技)，則是否接納風險就須透過成本評估，比較改善風險影響所需的成本與冒險所帶來的機會。

(4)在許多情況下

一個風險對策不一定可以完全解決一個特定問題。通常機關為了獲得實質上的利益必須結合數個對策，如降低風險的機率、降低風險的影響，以及轉嫁或保有剩餘的風險。有效地利用合約以及風險減低計劃的風險資金便是一例。

(5)當執行風險對策的總成本

超過現有的預算時，則必須排列執行風險對策的優先順序，可以使用許多方法來決定對策的優先順序，如風險排名以及成本-利益分析。無法在現有的成本下執行的風險對策必須等待進一步的資金來源，或者當所有剩下的對策都很重要時，則必須想辦法籌措剩餘的經費。

(6)選擇風險對策時

應該考慮被影響的團體如何看待風險，以及如何適當地與這些被影響的團體溝通。