Eine R. ist ein Instrument der Risikobewertung. Können keine quantitativen Aussagen über Eintrittswahrscheinlichkeit und Schadensausmaß gemacht und sollen trotzdem qualitative Bewertungen über die Bedeutung von Risiken abgeleitet werden, sind R. geeignet. Dabei werden Risikoklassen nach dem Ausmaß der Gefährdung des Erfolgs oder der Liquidität gebildet. Bei der R. wird kein Messmodell verwendet, um Auswirkungen auf die Unternehmensziele abzuleiten, sondern es erfolgt eine subjektive Bewertung durch Mitarbeiter oder externe Experten. Beispielsweise können Risiken nach ihrer Auswirkung auf den geplanten Jahresüberschuss eines Unternehmens in unbedeutend, leicht, mittel, schwer und kritisch klassifiziert werden.

Aus Gründen der Übersichtlichkeit und zur Vermeidung einer Scheinsubjektivität wird empfohlen, höchstens vier bis fünf Risikoklassen zu bilden. Allerdings vereinfachen R. die Risikobewertung sehr und sind zudem von den subjektiven Einschätzungen der bewertenden Personen abhängig.