Setelah risiko diidentifikasi dan diukur, langkah selanjutnya adalah menilainya dengan memetakannya ke dalam sebuah matriks atau peta risiko (risk map). Peta risiko adalah diagram kartesius sederhana dengan sumbu Kemungkinan dan sumbu Dampak. Setiap risiko yang telah diidentifikasi akan ditempatkan pada peta ini sesuai dengan koordinat skor Kemungkinan dan Dampaknya.
Peta risiko biasanya dibagi menjadi beberapa area dengan warna yang berbeda untuk menunjukkan tingkatan risiko. Misalnya, warna hijau untuk risiko rendah, kuning untuk risiko sedang, oranye untuk risiko tinggi, dan merah untuk risiko sangat tinggi. Tingkatan ini ditentukan berdasarkan nilai risiko, yang merupakan hasil perkalian antara skor Kemungkinan dan Dampak.
Dengan memetakan semua risiko ke dalam risk map, auditor dan manajemen dapat dengan cepat melihat gambaran visual dari profil risiko organisasi. Peta ini membantu untuk mengidentifikasi risiko mana yang berada di zona "merah" dan memerlukan perhatian segera, serta risiko mana yang berada di zona "hijau" dan dapat diterima. Namun, nilai dari peta risiko ini seringkali masih bersifat subjektif dan perlu disesuaikan lebih lanjut.
