Riscos estão associados à ideia de que algo possa 'dar errado' e causar impactos indesejados. Os riscos são inerentes às atividades humanas sendo praticamente impossível eliminá-los e, do ponto de vista dos negócios, eles precisam ser bem gerenciados.
Um processo de gestão de risco deve ser sistemático, ou seja, feito de forma organizada, com método e disciplina, e capaz de: identificar, classificar e mapear os riscos, entendendo as correlações entre os diferentes riscos; avaliar os riscos, isto é, determinar seus impactos e probabilidade de ocorrência; mensurar e, se possível quantificar, seu impacto financeiro. Em função dessas informações, e considerando ainda o perfil de risco e os ganhos potenciais, é possível decidir qual o tratamento adequado a ser dado. A decisão de 'o que fazer com o risco' se encontra em um intervalo que vai desde evita-lo totalmente até aceita-lo. Ao aceitar o risco, porém, é possível tomar medidas para mitigar ou reduzir, compensar, transferir ou compartilhar os possíveis impactos advindos do risco em questão.
A gestão de riscos permite prevenir alguns riscos, isto é, é tomar medidas que diminuam a probabilidade de sua ocorrência ou ainda reduzam seus impactos. Os riscos podem ter origem interna ou externa; ser de natureza estratégica (relacionados a decisões), operacional (relacionados a processos), financeira (ligado ao mercado, crédito e liquidez), reputacional (imagem) ou legal (regulatório). A complexidade da gestão de riscos reside no fato que, em geral, esses impactos são inseparáveis, ou seja, estes aspectos estão correlacionados e um risco pode apresentar impactos de diferentes naturezas.
Os riscos sociais e ambientais dentro dos limites físicos da empresa são, de certa forma, facilmente gerenciáveis. Isto quer dizer que os riscos relacionados ao processo produtivo como acidentes, vazamentos, contaminação, podem ser evitados e praticamente eliminados desde que se tenha um processo adequado e eficiente de gestão de riscos. O que torna desafiadora a gestão dos riscos dessa natureza é sua ocorrência 'fora dos muros da empresa', por exemplo, na sua cadeia de valor. Um exemplo típico, que afeta a reputação da empresa, e pode ter impactos legais e financeiros significativos, é a presença de condições de trabalho degradantes na cadeia de fornecedores.