APM classe les traitements suivant 3 statuts :
Absence de risque
Risque possible, PIA recommandé
Est à risque, PIA obligatoire
Dans le cas 3 
et éventuellement dans le cas 2 
il est nécessaire de réaliser une analyse d’impact, aussi appellé PIA (Privacy Impact Assessment).
Pour réaliser une analyse d’impact il faut sélectionner un traitement dans le menu « Traitements » puis sélectionner l’action « Analyse d’impact : Démarrer l’analyse » dans les actions du panneau de droite.
L’analyse d’impact est réalisée pour une version donnée d’un traitement. Lorsqu’une nouvelle version du traitement est créée, les analyses déjà réalisées sont copiées dans la nouvelle version du traitement.
La méthodologie de l’analyse d’impact implémentée dans APM est celle que la CNIL décrit dans son guide de sécurité (version anglaise).
La méthodologie repose sur une liste d’événements redoutés (Accès illégitime, Disparition des données, …) évalués suivant 2 critères :
- La vraisemblance : l’événement a-t-il une forte probabilité de se réaliser ou non ?
- La gravité : si l’événement arrive, est-il grave ou non ?
Chaque critère est noté suivant 4 niveaux :
Négligeable
Limité
Important
Maximal
Finalement les événements redoutés sont placés dans un graphique possédant 2 axes : la vraisemblance et la gravité. Plus l’événement se situe en haut à droit du graphique, plus il est à risque et donc à éviter. Dans le cas où un événement est à risque fort, il peut être nécessaire de revoir le traitement (la sécurité des données, la liste des données collectées …) afin de diminuer le risque.
