En analyse af de risici, som en virksomhed står overfor. En risikoanalyse består af fareidentifikation (virksomhed identificerer eventuelle ”farer” (hændelser), der kan ramme virksomheden), eksponeringsvurdering (en virksomhed vurderer, hvor eksponeret den er for at blive påvirket af eventuelle ”farer” (hændelser)) og responsanalyse (en virksomhed planlægger og responderer på de ”farer” (hændelser), som den kan have for at forebygge og mindske følgerne af hændelserne).