所谓风险就是某事朝着错误的方向发展并产生不利后果的可能性，这种后果将对机构的计划造成损害或使机构目标更加难于实现。因此，风险管理就是指通过有关制度和程序对风险进行界定、评估、控制和最小化，并把风险控制在与有关机构的“风险胃口”，或者说是该机构吸收、控制风险或承受风险结果的能力相适应的水平。
风险管理的起点是风险领域以及单个风险的确定。启动风险管理过程时，可能需要通过一个大的项目来确定风险领域和单个风险，然后再明确更进一步的风险，这也是机构内部强调风险管理的自然结果。在大的方面确定了风险以后，需要通过细致的工作对风险进行评估。风险评估的一个好方法是制作一个风险矩阵，在其中按照风险的几个重要领域(这些领域通常和机构的内部职能或与高级管理人员或理事会成员的责任相对应)、风险可能性的标准(即发生风险的可能性)以及风险的强度和严重性(即发生风险可能对金融或营运带来的冲击)，把风险归入不同的组别。风险分析的第一步可能是按照发生风险的可能性和严重性，把每个风险或风险领域划分为高、中、低档三个层次，或者给每类/个风险分配比如从1到5的分类编号。然后，就可以从风险可能性和严重性的等级评估结果中，对风险进行初步划分。在更加复杂的风险分析中，可能还需要针对特定风险采取更加详细的评估程序，包括运用综合不同风险因素的衡量体系对金融风险及其发生的可能性进行分析。
在完成风险确定和风险评估程序之后，下一步工作就是制定风险管理计划，即按照风险领域依次对如何管理这些风险提出建议。关于风险管理的一个著名范例就是把每个风险划分到以下四个类别中：
可承受的风险:风险已被发现并可圆满控制，经过适当分析后确定风险是可以接受的，采取额外风险控制措施不能取得成本效益。
可终止的风险：通过采取控制措施消除了风险，例如停止某些方面活动、改变待遇资格标准、取消某些保障或出售部分资产等。
可转移的风险：通过合同形式把风险从一方转移到另一方，例如通过法律协议或以保险合同的形式把风险转移到另一方。
可以改变的风险:通过改变风险的性质使其更加安全或者从根本上使之更加容易管理，从而实现风险控制。例如把可以相互抵消的风险进行配对(比如通过资产/负债管理)，或者通过签订期货、交换、产权保值以及保险或再保险协议等合同的形式，对风险进行平衡。
在确定风险管理计划后，接下来就要实施风险缓解措施，特别是终止、转移和改变风险的措施，同时采取控制风险的适当步骤，对风险缓解和控制措施的有效性进行评估，并谨慎控制机构内保留的(“承受的”)风险。监管机构应当以风险控制过程中发现的问题为主题开展经常性的评估，这样监管机构就能在其提交的年度报告中证明它已经建立了适当的风险控制，并保证风险得到足够的重视和管理。
