O primeiro passo para um plano de gestão de riscos é a identificação das ameaças, vulnerabilidades e riscos, com base nos conhecimentos, métodos e técnicas existentes. Para determinação do nível de risco, recomenda- -se a utilização dos critérios definidos pelo Ministério das Cidades e Instituto de Pesquisas Tecnológicas do Estado de São Paulo – IPT sendo os riscos classificados em Baixo ou Inexistente – R1; Médio – R2; Alto – R3 e Muito Alto – R4. Com relação a esses critérios, pode-se afirmar corretamente que: