Zur Risikobewertung wird neben der Eintrittswahrscheinlichkeit eines Risikos als Intensitätsdimension das S. als Quantitätsdimension benötigt. Das S. beschreibt die Höhe des potenziellen Verlusts, der durch ein schlagend werdendes Risiko verursacht werden kann, und kann quantitativ unter Bezugnahme auf die betroffenen Unternehmensziele oder qualitativ durch die Zuordnung zu bestimmten Schadensklassen z.B. „unbedeutend”, „nebensächlich/spürbar”, „bedeutend”, „schwerwiegend/gravierend” und „existenzbedrohend” bewertet werden.

Die Schätzung des S. erfolgt entweder subjektiv durch Befragung von Mitarbeitern oder Experten oder objektiv auf der Grundlage von Risikomodellen, z.B. At-Risk-Modellen. Risikomodelle liefern letztendlich immer quantitative Schätzungen des S., während Befragungen auch qualitative Bewertungen erlauben.

Eine qualitative Einschätzung birgt stets die Gefahr von uneinheitlichen Risikobewertungen, da die befragten Personen schon aufgrund ihrer unterschiedlichen Risikoneigungen zu unterschiedlichen Ergebnissen kommen. Zudem können qualitativ bewertete Risiken nicht aggregiert werden.