正如只有制定出会计原则和具体准则后，才能以相应的规范为依据来判断企业报表信息的公允性、真实性一样，也只有制定出企业风险评估标准后才有判断风险评估完整、合理和有效的可能。（1）明确企业风险的内容。由于市场竞争、优胜劣汰机制的作用，特别是WTO的加入使企业面临的风险比以往任何时候都更为严峻。归纳起来，主要有经营风险、财务风险、会计风险、内部审计风险和信息系统风险等，其中以经营风险为主。(2)明确风险评估的内涵。风险评估是企业内部控制的主要组成部分，控制和风险的概念紧密相连，环境控制和风险评估是提高企业的内部控制效率和效果的关键。企业进行风险评估一般须经历风险辨别、分析、管理和控制等过程。(3)风险评估的设立要按照其构成要素对企业面临的每项风险分别进行。

风险评估首先要解决的是风险事件在确定时间内(如一年、一月或者一周)发生的可能性，即频率的大小，然后估计这些风险事件会造成何种程度的损失后果，即损失的严重性。其次，根据风险事件发生的数量和损失严重程度估计总损失额的大小。最后，风险管理者如何预测这些风险事件的发生次数和损失严重程度、总损失额度等，以便为决策者提供资料。

1．损失频率的评估

损失频率是指一定时期内损失可能发生的次数。对损失频率的测定可以估算是一风险单位因某种损失原因受损的概率，如一幢建筑物因火灾受损的概率，也可以估算几幢建筑物因火灾受损的概率。

损失频率评估的具体方法有定性分级和概率测算两种。前者是风险管理者根据自己对风险的观念，将风险事件按发生的可能性大小分级；后者则是根据统计资料应用概率统计的方法进行计算。定性分级自然不如概率测算精确，但也有可取之处，它具有不必依赖有关风险的高标准信息的优点。

一般地，企业在分析损失发生频率时，如果能够掌握较充分的信息，分析风险事件的种类、损失的种类，那么各种潜在损失发生的概率就较容易准确计算。损失的概率越大，出现损失的可能性越多。确定潜在损失发生概率对风险管理决策的制定具有重要意义。

一般来说，损失的频率比损失的严重程度更具有可预测性。尤其是对于一些大公司来说，由于风险标的集中，所以对风险事件有较准确的预测，从而容易发现损失发生频率的大小。但是，对于一般企业来说，要准确地预测损失频率还是比较困难的，因为大多数严重的损失并不是天天发生的，并且单个企业的风险标的也很难多得足以准确地预测损失发生的频率。尽管存在着局限性，对损失频率的带有一定误差的预测还是比不进行预测好得多。损失频率的评估是风险评估的重要方向。

2．损失程度的评估

企业在完成损失频率评估后，就要进入风险评估中最重要的阶段——损失程度的评估。损失程度是指每次损失可能的规模，即损失金额的大小。损失程度的评估实际上就是对损失的严重性进行估算。企业在确定损失的严重程度时，必须考虑每一特定风险可能造成的各类损失及其对企业财务及其总体经营的最终影响。也就是说，创业者既要评估潜在的直接损失，也要估计潜在的间接损失。

企业在评估损失程度时还应注意，损失的严重程度不仅与损失的类型有关，而且与遭受损失的风险单位个数有关。涉及同一风险的单位越多，则该风险的潜在损失也越大，尤其在各单位发生损失的事件互相关联时更是这样。此外，也应考虑损失金额的时间效应。例如，持续10年的每年1000元的损失就不如立即发生一次10万元的损失严重，因为货币具有时间价值。  

以上对损失发生频率的估计和对损失严重程度的估计只是从风险估计基础的角度分析。风险估计应该采用概率分布的方法加以定量化分析。风险管理人员之所以要评估潜在的风险是为了今后能选择适当的控制风险的方法，损失频率和损失程度不同的风险需要采用不同的方法进行控制。