リスクアセスメントとは、リスクの大きさを評価し、そのリスクが許容できるか否かを決定する全体的なプロセスのことです。

具体的には、リスク分析により明確化されたリスク因子（危険を引き起こすかもしれない要因）に基づき、
1. リスク因子により組織の財務基盤にどのような悪影響を及ぼしうるかの評価
2. 対処すべきリスク因子の優先順位を決定
3. リスク対処のコストパフォーマンスを、上述の財務基盤への影響度も絡めて分析評価し、再検討
と言った手順を取ります。

プライバシーマーク認定制度の要求事項(JISQ15001)でも、3.3.3[リスクなどの認識、分析及び対策]がリスクアセスメントにあたります。

具体的には、以下のような手順で進めていきます。
1. 事業を行うなかで発生する個人情報を、業務ごとに、ライフサイクル（局面別）にわけて、リスクを洗い出します
ライフサイクルとは、一般的に、個人情報は取得・入力して、その個人情報を利用したり加工したり、また、他の取引先へ移送したり・送信したりもします。
そして、取得、入力した個人情報を保管し、最終的には廃棄します、その流れを言います。
2. 洗い出したリスクを考慮し経済的かつ合理的な管理策を策定します
3. 対策を講じたにも関わらず、リスクが残る場合は、残存リスクとして把握します

この過程は、プライバシーマークの中でも重量度が高い部分になりますので、時間をかけてしっかりと取り組みべきです。