Reakcje na ryzyko czynne trzeba włączyć do planów projektu (struktury podziału pracy, harmonogramu, kontraktów itp.), a koszty strategii łagodzących i wzmacniających dołączyć do oszacowania bazowego. Są to koszty, które zostaną poniesione w projekcie.

Warto również dodać do oszacowania bazowego prognozowane skutki rodzajów ryzyka, których prawdopodobieństwo wystąpienia istotnie przekracza 50%. Pomoże to w przygotowaniu bardziej realistycznych uzasadnień biznesowych.

Następnym krokiem są konsultacje z każdym z dysponentów ryzyka (czyli z osobami, które posiadają największą wiedzę na temat danego ryzyka). Rozmowy te mają na celu ustalenie, w jaki sposób wyrazić ryzyko rezydualne w kategoriach ilościowych. Jeśli na przykład rozpoznano ryzyko polityczne związane z nieuzyskaniem na czas pozwoleń na budowę wieży transmisyjnej, analityk specjalizujący się w ryzyku należącym do tej kategorii może stwierdzić, że w rezultacie nastąpi przynajmniej roczne opóźnienie w podjęciu działalności operacyjnej, a w celu rozwiązania wynikających stąd problemów trzeba będzie w ciągu pierwszych dwóch lat ponieść dodatkowe nakłady kapitałowe o określonej wartości.

Zarówno prawdopodobieństwo, jak i skutki można wyrazić w sposób podkreślający związaną z nimi niepewność, to znaczy posługując się zakresami wartości (oraz ich rozkładami). Na przykład wspomniany analityk może uznać, że opóźnienie wynikające z dłuższego czasu oczekiwania na pozwolenie może wynieść od 1 do 70 tygodni, przy czym najbardziej prawdopodobną wartością są 52 tygodnie. Może stwierdzić, że prawdopodobieństwo waha się pomiędzy 5% a 30%, przy czym najbardziej prawdopodobną wartością jest 15%.

Moderator powinien dokonać wyboru najwłaściwszych rozkładów oddających niepewność związaną z poszczególnymi elementami oszacowań kosztów oraz rezultatów zdarzeń ryzyka. Podstawą tego wyboru powinna być możliwość jego uzasadnienia, opierająca się na rozmowach przeprowadzonych z dysponentami ryzyk oraz w gronie zespołu. W rozmowach zawsze należy się skupiać na typowych scenariuszach.

Wszystkie informacje wprowadza się do programu komputerowego umożliwiającego przeprowadzenie symulacji, na przykład Crystal Ball. Program komputerowy przeprowadzający symulację Monte Carlo powtarza obliczenia wiele tysięcy razy, każdorazowo wybierając losowe wartości, odnosząc je do prawdopodobieństw i różnych, losowych wyborów z rozkładów. W trakcie tych obliczeń zawsze uwzględnia się czynniki oznaczające niepewność, natomiast czynniki oznaczające rodzaje ryzyka uwzględnia się z częstotliwością wynikającą z ich prawdopodobieństw. Przy każdym uwzględnieniu danego czynnika w odpowiedzi przypisuje się mu inną wartość należącą do wskazanego rozkładu. Kilka wartości będzie bliskich najgorszemu możliwemu przypadkowi, kilka będzie zbliżonych do najlepszego możliwego przypadku, a większość skupiona będzie wokół najbardziej prawdopodobnego przypadku. Na podstawie uzyskanych odpowiedzi konstruuje się krzywą rozkładu, która opisuje ogół możliwych rozwiązań. Diagram 2 przedstawia typowy rezultat otrzymywany w wyniku analizy Monte Carlo, czyli krzywą dystrybuanty.