在企业能够评估或减轻业务风险之前，它必须首先确定其底线可能存在或可能存在的风险。目前还没有可靠的方法来识别这些风险，但公司依靠过去的经验来合理估计可能发生的情况。风险过程自然会随着时间的推移而演变和成熟，但有一些基本原则是不变的。

评估业务风险

商业风险有各种形式和规模。这意味着有效的风险评估必须适应或专门针对特定的危险进行设计。在可能的情况下，企业应将类似的风险分组到可比较的分析过程中。

理想情况下，公司应根据成本效益分析确定的风险分配资本。每一个风险识别过程都应该导致有效的分析，每一个分析都应该为公司治理提供信息。

内部与外部风险分析

主要影响企业的风险有两种：内部风险和外部风险。

外部风险

外部风险源于公司外部，包括经济趋势、**监管、市场竞争和消费者口味变化。内部（特定于公司的）风险包括员工绩效、程序故障和基础设施故障或不足。

外部风险评估几乎总是需要大量数据。由于大多数外部风险是经济系统的系统性风险，因此超出了公司的控制范围，因此无法根据不同的公司治理决策调整预测。

外部评估首先对潜在风险进行分类。有些音阶是名词性的，有些是序数的。公司更喜欢名义上的类别，因为它们更容易操纵和比较。定量技术，如基准测试或概率建模，适应新数据的到来。然后，公司可以跟踪相关指标，并为给定项目创建可接受风险的阈值。

内部风险

内部风险影响着更为具体和可控的流程。公司使用操作风险评估来评估因业务决策不当而导致的损失风险。合规风险评估至关重要，尤其是在严格控制的行业，如银行业或农业。

必须评估内部审计风险，尤其是对上市公司。不久前，公司只是按照行业标准操作。然而，现代公司通过考虑特定目标的可能性和影响来评估内部风险。