风险评估就是考虑潜在事件对企业目标实现的影响程度。管理者从两个角度来评估事件：一是发生的可能性；二是影响程度。如上所述，不管是有利的事件，还是不利的事件，都需要单个或分类地进行审视。
1.内在风险与剩余风险
管理者在评估风险时，既评估内在风险，也评估剩余风险。内在风险指管理者不采取相应的风险管理措施情况下的风险。
剩余风险指管理者采取对策后的风险。评估风险时首先评估的是内在风险，当风险管理策略确定后，再考虑剩余风险。假设某中药制造与销售厂商，计划期药品出口的收入约为100万美元，如果汇率风险发生变化，势必会影响外汇收益。该事件的内在风险和剩余风险如表2。
发生可能性较小、对目标实现的影响不大的事件，管理者并不需要花费太多的时间进行考虑。发生可能性大、影响严重的事件，管理者需慎重应对。在这两个极端之间，往往需要管理者理性、谨慎的分析和判断。
风险评估的时间跨度应当与企业相关战略与目标的时间跨度相一致。由于一般企业的战略与目标大都侧重于短期或中期，管理者自然更多关注这一时间范围的风险。但企业的战略方向及目标的某些方面会涉及到更长时期，所以，管理者也不应忽视更长时期内的重大风险因素。
管理者通常使用一些绩效指标来衡量目标的实现程度，相应地，在考虑风险对某一特定目标的潜在影响时，也应使用一致的指标。例如，某企业用客户满意度指标、投诉率等衡量对客户服务的水平，在评估风险对服务目标的影响时，如公司网站出现事故而造成客户不能登录，也应使用相同的指标。
2．风险评估技术
对风险的评估技术包括定性技术和定量技术。
当风险无法定量，或者定量分析的数据可靠性太弱，或者数据采集成本大于收益时，管理者一般会使用定性分析方法对风险进行评估。
企业对风险进行定性分析时，可以采用与事件确认相同的方式，如召开小型研讨会、面谈等。这种风险的自我评估流程可以获取参与者对未来事件发生的可能性与影响程度的认识与估计。
定量分析更为精确，适用于较为复杂的情况，是对定性分析的补充。定量分析耗时费力，也更为严格，有时需要使用复杂的数学模型。定量分析技术是否适用取决于数据和假设的质量。常用的定量分析技术有：标杆法、概率模型、非概率模型等。
标杆法：指管理者将衡量指标与本公司其他部门、竞争对手或行业平均、行业内最优秀公司的指标值进行比较，以评估某一或某类事件发生的可能性和影响程度。
概率模型包括：风险定价法，现金流量法、损失分布法等。
非概率模型包括：敏感性分析、图景分析、压力测试等。
3．风险评估与事件之间的关联性
如果事件之间互不相关，则可单独进行风险评估。但如上所述，事件之间有时相互关联，某一事件的发生可能会触发另一事件。就风险评估来说，某一单独事件，风险可能不大，但各个关联事件发生后的总体影响或后果可能重大。例如，某一企业在海外建厂、雇用当地的经理、对这一分部的报告系统尚未进行测试、因而对其业绩评估也就缺乏坚实的基础。从单个事件看，风险都不大；但从总体上看，则可能会产生重大的误报风险或虚假的财务报告。
如果某类风险会影响到企业的多个业务单元，管理者一般会从业务单元层次分析与评估风险，然后再从公司总体层面上加以考虑。
事件的性质或者相互之间是否存在关联会影响到具体风险评估技术的采用。例如，对于影响非常重大的事件，管理者可能使用压力测试技术；而对于多个事件的关联影响和总体后果，管理者可能会觉得模拟分析或图景分析更加适用。
4．风险评估的结果描述
对事件发生的可能性及影响程度进行定性或定量评估后，可以采用风险图、数量表等方式将其描述出来，以利于管理者针对不同的风险类型采用不同的风险管理策略。
例如，某公司对以下9项事件发生的可能性和影响程度进行了定性评估，风险①发生的可能性为“低”，风险发生后对目标的影响程度为“极低”；……；风险⑨发生的可能性为“极低”，对目标的影响程度为“高”……。绘制风险图如图1。
通过图1可以直观地看出各类风险的大小，从而确定风险管理的优先顺序和策略。对风险①公司可以采用风险接受的策略，即不再增加相应的管理措施；对风险⑥、⑧应给予高度重视，可以采用风险规避或风险转移策略；对其他风险可以通过优化控制流程等管理方式来减少或控制风险。
风险反应
所谓风险反应，就是在对风险从单独或关联角度、业务层次和公司总体层次进行评估后，根据各类风险的大小而采取的相应的管理策略。
管理者会采用整体风险或组合风险的观点，根据风险的评估结果，通过成本与收益分析确定相应的风险管理策略，将公司剩余风险控制在可承受范围内并与公司风险偏好相一致。
1．风险反应的类型
企业的风险对策大致有四种类型：
风险回避。企业现有的活动会带来风险，管理策略之一就是回避这种风险。例如，IT企业考虑到软件外包业务的激烈竞争而不参与；再如，企业剥离并出售既有的风险较大的业务或分部等。
风险减少。这一风险管理策略是为了减少风险发生的可能性或后果，或两者兼而有之。例如，企业从事的某项研发活动存在较大风险，公司管理者不是不搞研发，而是对研发投入设计一个上限（如一年最多投入1000万元人民币等），并通过完善研发流程来提高研发的效率与效果，通过设限和完善内部流程来降低风险。再如，根据公司各业务单元的风险分布，调整战略，重新分配资源等。
风险分散。通过转移或共享风险来减少风险发生的可能性或后果。例如，公司的某种设备比较关键，可以通过购买相应的财产险等来减少风险；为降低汇率变动对公司出口收益的影响，可以采用相应的套期管理办法；对某些重大的加工或制造业务可以采用分包经营策略；与其他厂商成立合资公司共同经营或战略合作关系，等等。
