Tras enumerar todos los peligros (biológicos, químicos o físicos) que se podrían presentar, el equipo HACCP debe evaluar la importancia o riesgo potencial de cada uno, considerando la probabilidad de que ocurra y su gravedad. La estimación del riesgo de que se presente un peligro se basa en una combinación de experiencia, datos epidemiológicos e información contenida en la literatura técnica. La gravedad se refiere al grado de consecuencias adversas que conlleva este peligro, si no es controlado. Los peligros con baja probabilidad de que ocurran o de escasa gravedad, no deben ser objeto de un análisis HACCP, pero pueden ser considerados en el marco de las BPM.