é sempre uma matriz do tipo 3 x 3.

permite identificar e priorizar os riscos que estão além do apetite ao risco da organização.

combina o impacto com a probabilidade de ocorrência do evento, sendo a probabilidade a dimensão mais importante da matriz.

classifica o impacto em três níveis distintos: aceitar, evitar e transferir.

define o tratamento que deve ser dado ao risco, cabendo ao gestor executá-lo.