Setelah memahami klien dan proses bisnisnya, tahap inti dari perencanaan berbasis risiko dimulai, yaitu identifikasi dan pengukuran risiko. Risiko didefinisikan sebagai ketidakpastian yang berpengaruh buruk terhadap upaya pencapaian tujuan. Dengan kata lain, identifikasi risiko adalah proses untuk mengenali setiap potensi peristiwa yang dapat menghalangi organisasi mencapai sasarannya.
Setiap risiko yang teridentifikasi kemudian diukur dalam dua dimensi utama. Dimensi pertama adalah Kemungkinan (likelihood), yang mengukur seberapa sering sebuah peristiwa risiko diperkirakan akan terjadi. Dimensi kedua adalah Dampak (impact), yang mengukur seberapa besar kerugian atau pengaruh negatif yang akan timbul jika peristiwa risiko tersebut benar-benar terjadi.
Kombinasi dari kedua dimensi inilah yang akan menentukan tingkat atau level sebuah risiko. Sebuah risiko bisa jadi sangat sering terjadi namun dampaknya kecil, atau sebaliknya, sangat jarang terjadi namun dampaknya katastropik. Memahami kedua dimensi ini secara terpisah adalah kunci untuk melakukan pengukuran risiko yang akurat dan objektif pada tahap selanjutnya.
