完成风险初始清单之后，GB 44721‑2026 要求企业依据危害严重度、发生概率开展风险等级评估，区分必须处置的高风险与一般风险，明确风险处置优先级。很多项目风险评估存在主观化严重、评估准则不落地、评估结果无法指导下游开发的问题。借助 ASPICE SYS.5 系统风险分析过程域的成熟流程，可以让风险评估工作标准化，同时满足过程评估和国标合规双重诉求。

ASPICE SYS.5 要求项目定义正式的风险评估准则，记录风险发生可能性、影响程度，计算风险等级，这和 GB 44721‑2026 风险评估逻辑可以直接融合。企业无需建立两套独立评估体系，将国标中自动驾驶的伤害严重度判定规则嵌入 ASPICE 现有风险评估准则即可。

评估工作中，针对每一条已识别危害，结合车辆运行场景，判断危害发生的概率以及可能造成的伤害等级，输出风险等级。高等级风险必须优先制定缓解措施，中低风险做好记录与监控。评估全过程需要留存评审记录，评估结果需要经过安全、系统、测试多方评审，评审记录也是 ASPICE 评估以及 GB 44721‑2026 审核的核心证据。

对于 AI 机器学习相关风险，单纯依靠传统风险评估手段存在局限。需要结合 ASPICE MLE 过程域输出的数据集统计、模型测试结果辅助判定概率，例如数据集场景覆盖率、模型失效案例统计数据，用来支撑 AI 类风险的发生概率判断，减少纯主观判断带来的偏差。

风险分级结果需要向需求环节传递，高等级风险对应的安全约束，要转化为系统安全需求，进入 SYS.2 系统需求过程进行管理。依托 ASPICE 追溯机制，建立风险项‑安全需求之间的双向追溯关系。

风险评估不能只做一次，在架构变更、软件版本迭代、测试发现新失效案例时，需要重新复评风险等级。结合 MAN.3 项目管理过程持续监控风险状态，风险缓解之后及时更新等级，保证风险评估结果全生命周期有效。