企業の活動におけるリスクは、大きく分けて「災害・事故リスク」、「経済・社会リスク」、「経営リスク」の３つに分けることができます。 想定できるリスクを明確に分類していくことが貴社のリスクマネジメントの第一歩です。

先入観にとらわれず、組織に関わるすべてのリスクを対象にしなくてはいけません。
組織の関係者からの要請や法的要求事項などを考慮し、損失発生のメカニズム（ハザード→ペリル→ロス）を理解して、事故そのもの（ペリル）だけを捉えるのではなく、その結果（ロス）と要因（ハザード）についても洗い出します。
また、リスク情報の提供者には不利益が及ばないよう配慮することも大切です。

発見されたリスクの中から、組織に重大な結果をもたらすと思われるものと、重大性の判断が困難なものを選定します。

特定したリスクに対して、リスクの発生確率およぴリスクが顕在化した場合の影響の大きさを、定量的または定性的に把握します。
この作業は、リスク評価の手がかりとするためのものであり、リスク算定には、「シナリオ分析法」、「シミュレーション」、「リスクマトリクス」などを活用します。

リスク算定の結果を、あらかじめ作成したリスク基準に照らして組織として新たに対策を実施すべきリスクを明らかにするとともに、リスク対応の優先順位を定めます。
特定したリスクの中で特に対策が必要でないと判断したものについては、その理由およぴリスクの監視方法について文書化し、記録しておくことが望ましいでしょう。