概率和影响矩阵。见 11.3.2.6 节。组织可在项目开始前确定优先级排序规则，并将其纳入组织过程资产，或者也可为具体项目量身定制优先级排序规则。在常见的概率和影响矩阵中，会同时列出机会和威胁；以正面影响定义机会，以负面影响定义威胁。概率和影响可以用描述性术语（如很高、高、中、低和很低）或数值来表达。如果使用数值，就可以把两个数值相乘，得出每个风险的概率 – 影响分值，以便据此在每个优先级组别之内排列单个风险相对优先级。
风险概率指风险发生的可能性，而风险影响则是指风险一旦发生对项目目标就会产生影响。风险的这两个要素对于具体风险事件，而不是整个项目。为确保实施定性风险分析过程的质量和可信度，需要界定不同层次的风险概率和影响。在风险规划过程中，通用的风险概率水平和影响水平的界定将依据项目的具体情况进行调整，以便在实施定性风险分析过程中应用。例如，表15-3就是风险概率和影响定义的一个示例。
表15-3风险概率和影响定义
项目经理应该在基于风险评级结果上，对风险进行优先级排序，以便进一步开展定量分析和制订风险应对措施。通过对风险概率和影响的评估而确定风险评级。通常用查询表或概率和影响矩阵来评估每个风险的重要性和所需的关注优先级。根据概率和影响向各种组合，概率和影响矩阵把风险划分为低、中、高风险。描述风险级别的具体术语和数值取决于组织的偏好。
根据风险发生的概率及发生后对目标的影响程度，对每个风险进行评级。组织应该规定怎样的概率和影响组合是高风险、中等风险和低风险。在黑白矩阵里，用不同的灰度表示不同的风险级别。如图18-7所示，深灰色（数值最大）区域代表高风险，中度灰色（数值最小）区域代表低风险，而浅灰色（数值介于最大和最小之问）区域代表中等风险。通常，在项目开始之前，组织就要制定风险评级规则，并将其纳入组织过程资产。在规划风险管理过程中，应该根据具体项目的实际，对风险评级规则进行裁剪。
如图18-7所示，组织可分别针对每个目标（如成本、时间和范围）评定风险等级。另外应该综合对项目各个目标的影响，用相关方法为每个风险确定一个对项目总体的、综合的等级。最后，可以在同一矩阵中，分别列出机会和威胁的影响水平定义，同时显示机会和威胁。
风险值=风险发生的概率*风险发生后的后果
风险值有助于指导风险应对。如果风险发生会对项目目标产生消极影响（威胁）并且处于矩阵高风险（深灰色）区域，就可能需要采取优先措施和激进的应对策略。而处于低风险（中度灰色）区域的威胁，可能只需要作为观察对象列入风险登记册，或为之增加应急储备，而不必采取主动管理措施。同样，处于高风险（深灰色）区域的机会，可能是最易实现且能够带来最大利益的，故应该首先抓住。对于低风险（中度灰色）区域的机会，则应加以监督。
不同的文献对风险值有不同的称呼，例如，风险曝光度、风险严重性等。在表15-4中，由于最终的风险值只保留2位小数，因此，进行了四舍五入。例如，当风险发生的概率为0.1，风险的影响为0.05时，其风险值为0.1×0.05=0.005≈0.01。
通常由组织界定哪些风险概率和影响组合具有较高、中等或较低的重要性，据此可确定相应的风险应对规划。例如，在表15-4中，白色区域代表高风险，浅灰色区域代表中风险，深灰色区域代表低风险。
如果风险发生会对项目目标产生消极影响（即威胁），并且处于高风险区域，就可能需要采取优先措施和积极的应对策略。而对处于低风险区域的威胁，则只需将之列入观察清单或为之增加应急储备，而不需采取积极管理措施。同样，处于高风险区域的机会，是最容易实现而且能够带来最大利益的，故应该首先抓住。对于低风险区域的机会，则应加以监督
定性风险分析是评估已识别风险影响及其可能性的过程。给定变量(如风险发生概率）的主观判断，使用主观成本-收益思考过程，由接受或降低、分担或转移风险这些选项构成一种评价。不同项目成员因知识和经验的不同，对同一项目所作的风险评价也可能不同。 [1]
概率与影响矩阵是确定风险大小的一种通用方法。通过综合风险的两个维度，即发生概率及该风险对目标的影响来对项目中的风险进行评估，来检验风险是否被高估或低估。