リスク評価と対応
企業は事業活動を行なう中で、大小さまざまなリスクに囲まれています。例えば、「地震などの災害で工場の稼動がストップする」、「取引先が倒産して売上金が回収できない」、「社員が持ち出したPCから顧客の個人情報が漏洩する」、また最近では「急激な円高による経常利益の大幅な減少」などもリスクと言えます。経営者は、経営目標を達成するために、これらのリスクを洗い出し、評価するとともに、低減させるための適切な処理をとることが求められます。
リスクは会社の業種や業態、規模によって異なります。例えば上記の円高の例は、輸出も輸入も関係ない教育産業では問題にならないでしょう。まず、自社がどのようなリスクの内容と発生原因と抱えているのかを全社レベルで行なう必要があります（リスクの識別）。
リスクは経営目標の達成を阻害する事象の全てを指しますが、顕在化する確率の高いものから低いものまで、またその影響が重大なものから軽微なものまで、様々なレベルがあります。企業としては、そのランキング付けを行い、重大なものからその対応策を検討しなければなりません（リスクの評価）。
具体的な対応策を考えるうえでは、リスクの発生原因や内容に応じて、1.そのまま受け入れるのか（受容）、2.避けて通るのか（回避）、3.その影響を減らすのか（低減）、4.保険会社などを利用して移転させてしまうのか（移転）という4つの方法を検討します。
このような洗い出しから、対応策までの一連のプロセスは、内部統制の重要な要素であり、経営判断が要求されます。したがって、経営陣が率先して、トップダウンで進めていく必要があります。