Das Risiko eines Betriebes bestimmt sich aus der Betriebsart und den Produkten, die er herstellt bzw. verkauft (Produktrisiko), und Faktoren, die der Betriebsinhaber direkt beeinflussen kann, wie bisheriges Verhalten des Unternehmers (Einhaltung von Rechtsvorschriften, Rückverfolgbarkeit, Schulung des Personals), Verlässlichkeit der Eigenkontrollen (HACCP-Verfahren, eigene Produktuntersuchungen, Temperatureinhaltung) und das Hygienemanagement (bauhygienischer Zustand, Produktionshygiene, Personalhygiene, Reinigung und Desinfektion, Schädlingsbekämpfung). Die Risikokategorie wird in der Regel einmalig definiert. Alle weiteren Hauptmerkmale sind flexibel und werden bei den Vor-Ort-Kontrollen durch die Vollzugsbehörden anhand der Kontrollergebnisse festgelegt.
In Abhängigkeit von den Ergebnissen der risikoorientierten Beurteilung von Betrieben sind Kontrollhäufigkeiten von täglich bis mindestens einmal in drei Jahren einzuhalten. Anhand der Risikokategorie der Betriebe und der vor Ort bestimmten Werte für die übrigen Merkmale errechnen sich die Kontrollfrequenz und der nächste Kontrolltermin des Betriebes.