当风险识别后，接着要做的就是风险评估。风险评估就是对识别后所存在的风险进一步的分析及量度，也就是对企业某一特定风险的性质、发生的可能性及可能造成的损失进行估算、测量。如果说风险识别所解决的是可能出现何种风险，那么风险评估所回答的问题就是风险究竟有多大?风险带来损失后果的程度到底有多大?风险评估就是要给出某一风险发生的概率以及其后果的性质和概率。风险评估是风险管理中最重要的部分之一，也是难度最大的部分之一。

创业风险评估的要求包括两点：(1)确定一个衡量风险重要性的标准；(2)把这个标准用在那些已被识别出的风险。遗憾的是，现在还找不到一种适用于所有领域的风险暴露的方法。相反，风险衡量方法常常要因不同的领域而异。创业风险估计是指运用概率及数理统计方法估计某一风险发生的概率及其损失后果的频度、性质和概率，以准确地估量损失严重程度。也可以说，风险估计就是运用概率统计方法对风险事件的发生和风险事件的后果加以估计，从而给出较准确的概率水平。所以，在进行风险分析时，风险估计包括对风险事件发生频率的估计和损失严重程度的估计。

风险估计的过程是非常复杂的。对损失发生频率的估计和损失严重程度的估计是风险估计的两个不可分割的部分，很多情况下，风险估计的重点是损失的程度，而不是损失发生的频率。比如，对于某些巨灾损失来说，虽然不经常发生，一旦发生，其损失的严重程度却比经常发生的较小风险事件高得多。但是，如果要对风险加以准确评估的话，损失频率的估计仍是必不可少的。在损失程度一致的风险事件中，如果能够估计出损失发生的频率，则具有重要的意义。这是因为，损失频率大的风险事件可能导致较大的总损失额，但某些频率不很高的风险更能造成严重的损失。所以，风险估计既是对风险发生频率，也是对风险后果损失严重程度的估计，它是风险评估的重点之一。

风险评估的第二个重点是风险评估的直接效果与间接效果。在估计某件事的财务效果时，直接效果往往非常明显，但是间接效果也可能非常重要，在某些情况下甚至可能支配直接效果。在大多场合，直接效果是显而易见的，而且很容易在事故发生前进行估计。而预测间接效果则相对麻烦一些。创业者在风险估算中的职责就是尽可能考虑到给定事件的所有后果，其中当然包括间接效果出现的可能性。

直接效果就是风险事故产生的结果或者风险因素对资产价值的影响。例如，火灾的直接成本就是维修或更换被火烧毁的那部分财产所需的成本。火灾的间接成本则是由于修理受损部分而可能使受灾房屋造成的损失，其中包括损失的销售量和临时存放货物的成本。在金融资产如证券存在的情况下，证券贬值是一种直接损失。如果持有证券的企业的信贷利率下降，该企业遭受的就是间接损失。

风险评估的第三个重点是风险暴露的大小。应当根据不同的应用领域来选择估算风险的方法。在那些可投保的风险中，常用于损失的数据有：(1)损失频率；(2)损失幅度。损失频率测量的是在单位时间内损失事件发生的平均次数。例如，某种损失的损失频率为每年0.5次，说明损失平均每两年发生一次。损失幅度测量的是损失的严重程度。例如，某一类损失的平均成本为4万美元。损失频率乘以平均损失幅度就得一期望损失。在上面的例子中，期望损失为：0．5×40000美元=20000美元。

 根据损失频率和损失幅度得到的仍然是平均意义上的结果。对风险估算的进一步研究需要考虑可能的偏差。在上面的例子中，损失频率为每年0.5次和平均损失幅度为4万美元只是对事情的总体性描述，而这些平均数后面的真正的事件发生模式可能大不相同。例如，十年中每隔一年发生一次和十年中有一年发生五次这两种情况就大不一样，但是两者的频率都是每年0.5次。损失幅度也存在同样的问题：平均损失幅度为4万美元可能是因为每次损失成本都是4万美元，也可能是因为95％的损失成本是2万美元，而剩下5％的损失的成本是420000美元。