根据ISO28000标准的要求，铁路物流企业的风险评估，就是要求对之前识别出的安全威胁情景逐一评估其后果及可能性。安全威胁情景的后果被划分为高、中、低三个等级。
高等级后果包括：一定规模的生命损失；资产或基础设施的重大损失；大面积生态系统在多方面的彻底毁灭等重大环境影响。
中等级后果包括：失去生命；需要修理的资产或基础设施的损害；生态系统某部分的长期破坏。
低等级后果包括：人员受伤，但没有生命损失；资产或基础设施的最小损害；一些环境破坏等。
安全威胁情景的后果出现的可能性也被划分为高、中、低3个等级。
当安全措施能够对后果的发生提供实质性阻力的时候，则可能性级别为低。
当安全措施对后果的发生提供中等阻力的时候，则可能性级别为中。
当安全措施对后果的发生只能提供较小阻力的时候，则可能性级别为高。
根据安全威胁情景的后果级别和发生可能性，对安全威胁情景进行逐一评价并讨论采取相应措施。当后果和可能性的级别都比较高时，意味着目前的安全措施不足以防范风险，因此应制定额外的对策；当后果和可能性其中之一较高，另一个较低时，应将其作为潜在安全事故考虑；当后果和可能性级别都比较低时，意味着当前的安全措施可以防范风险，只需对运作情况进行正常记录。
在风险评估过程中，ISO28000还提出了一种绩效审查表，以便于企业自身、供应链伙伴以及其他利益相关方对企业当前的安全措施进行评价和审查。安全绩效审查表根据企业的风险评估需求量身定做。
例如，对与信息安全相关的安全措施，设计其安全绩效审查项目。安全绩效审查表“项目”栏中列出了能够有效规避相应安全风险或减轻安全风险后果的措施。这些措施可以引导铁路物流企业逐步改善其安全管理水平。企业还可以根据这些措施对降低安全风险及其后果的重要性大小，对这些措施的重要性赋权值，并对措施的实施情况量化评分，进而可以运用层次分析法、模糊综合评价法、人工神经网络等评价方法对其安全管理水平进行量化评价。
