El término "riesgo" define la probabilidad de que suceda un evento adverso que genere un problema o daño. Evaluar los posibles riesgos y determinar la mejor manera de gestionarlos es uno de los desafíos de toda gran empresa.
Pese al grado de incertidumbre con el que siempre hay que contar, el análisis de riesgos es una forma sistemática de evaluarlos mejor. Es decir, el análisis de riesgos es básicamente un procedimiento para ayudar a tomar decisiones. Sus resultados son una guía para que la organización pueda tomar decisiones sobre los controles y procesos de seguridad más adecuados.
Como el riesgo constituye una falta de conocimiento sobre futuros acontecimientos, éste es, al fin, el efecto acumulativo que estos acontecimientos adversos podrían tener sobre los objetivos de la empresa. Incluso puede hablarse de riesgo cuando la consecuencia sea positiva para la organización: lo que se denomina oportunidad.
La gestión de riesgos debe optimizar el análisis de los mismos, decidiendo si la evaluación es necesaria o no para resolver un problema. En el caso de que se detecte la necesidad de evaluar un riesgo, las empresas tienen que tener en cuenta a qué áreas o procesos va a afectar ese riesgo y la magnitud que puede llegar a tener.
Hecha la evaluación, los gestores deciden qué medidas hay que tomar, concretando la estrategia a desarrollar y fijando los procesos específicos para resolver el riesgo y que éstos no afecten a los proyectos empresariales ni a la creación de valor para todos los stakeholders. Se pueden elegir varios marcos de gestión de riesgos y, a través de ellos, identificar primero las actividades que podrían aumentar las posibilidades de que el riesgo se materialice, y a continuación reducir en lo que sea posible esas actividades; transferir, si fuera posible, parte del riesgo y aceptarlo, en el caso de que cualquier medida que se tome para eludirlo tenga una relación coste-beneficio no rentable para la empresa.
La gestión de riesgos, en definitiva, es la ciencia de identificar, analizar y responder a los factores de riesgo a lo largo de la vida de la empresa para el mejor cumplimiento de sus objetivos.
Para que un riesgo pueda considerarse gestionable es necesaria la existencia simultánea de tres componentes:

1. Que pueda haber pérdidas, es decir, efectos negativos por la concreción del riesgo. En general las pérdidas se pueden corresponder con una valoración económica, pero hay casos en los que eso no es tan simple, como es el caso de pérdidas de vidas humanas o de desastres medioambientales.
2. Que haya incertidumbre. Es la probabilidad, pero no certidumbre, de que el riesgo identificado ocurra y el momento temporal en el que eso pueda suceder. Esta condición implica que al riesgo debe poder asociársele la probabilidad de ocurrencia a lo largo del tiempo.
3. Que se puedan elegir actuaciones que mitiguen el efecto del acontecimiento indeseado. Si no hay elección por parte del gestor, no hay riesgo, aunque sí puedan existir pérdidas.
   

La gestión de riesgos es un área clave para las empresas, que afecta a sus resultados, solvencia y posición en el mercado; y requiere un esfuerzo de adaptación constante para dar respuesta a los cambios en la demanda, la presión competitiva y los ciclos económicos.