組織におけるリスクマネジメントのプロセスは、一般的に「リスク特定」「リスク分析」「リスク評価」からなる「リスクアセスメント」と、その後に実施される「リスク対応」の一連の流れで構成されています。

最初の段階である「リスク特定」では、情報漏洩やサーバー停止、社員の誤操作など、自社にどのようなリスクが存在するかを洗い出します。次の「リスク分析」では、特定されたリスクが「どの程度の確率で発生するか（発生可能性）」と「発生したときにどれほどの損害が出るか（影響度）」を数値やレベルで推し量ります。その結果をもとに「リスク評価」を行い、対策すべき優先順位や許容できるリスクの境界（評価基準）を決定します。

そして最後の「リスク対応」において、具体的な対策を以下の4つの手法から選択して実行します。