1.评估/监控外部环境
外部环境风险在以下两种情况下有可能发生：
(1)企业对外部环境的假设同实际情况不一致，比如实际情况已经发生变化或有可能企业的初始假设就不成立。
(2)企业缺乏一个有效、持续的流程以获取外部环境的相关信息。
为降低该风险，管理层需要建立一套机制/流程用以系统地监控外部环境变化，包括来自竞争对手、市场、监管及其他任何在企业自身组织之外的因素。正因为企业今天的成功并不是明天胜利的保证，所以环境的变化对企业的影响是至关重要的，企业因此必须有能力确保其商业模式所依赖的假设及管理层对公司战略正确性的理解是与环境的变化相一致的。常见的监控方法包括进行行业分析、竞争对手分析、市场分析、标杆分析、不同可能方案分析等等。
2.评估外部环境风险对企业战略的影响
任何企业都需要进行有效的风险评估并确认风险的源头，这一评估过程涉及企业组织架构(即控股公司及业务单元层面)以及业务流程两个层面。关于业务流程层面的评估，我们将在后续章节中再作阐述，这里首先了解组织层面的评估。在组织层面，风险评估是战略性的，因此主要侧重于对环境风险的评估。如若环境的变化影响到企业商业模式所依赖的假设，则企业必须对其战略目标进行重新考虑。为达到这一目的，企业需要一个机制/流程用以确保将组织内部每个人对环境变化的认识转化为公司的行动，而制定一套通用的风险定义就是该流程的一个重要组成部分。在这一评估过程中，管理层应确保每个具体风险责任人：
(1)明确主体环境及流程风险对其责任范围内业绩的影响。
(2)能够将相关的环境风险信息与更高一层的管理者进行沟通。
(3)设计出一套有效的风险管理程序并付诸实施以将风险降至可控水平。
当然，评估外部环境风险所使用的信息可能来自于公司内部或外部，决策者不仅要评价这些信息本身，更重要的是评估其对公司的影响，从而采取稳妥的行动，如对已接受或拒绝的风险进行重新评价，对设计不可接受风险的业务行为釆取暂停性措施以及对现行风险管理流程进行重新审定并予以改进等。总之，环境的重大改变需要企业重新评估其战略目标。
3.制定企业风险管理战略
企业的经营需要有一个能确保管理层进行合理决策的框架，该框架必须能引导企业管理层识别重大的经营风险，分析出风险的根源，了解所识别风险同企业资本所面临风险之间的关系，并可以决定是否接受或拒绝该风险及评估这些风险管理决策对企业整体政策的影响。企业风险管理政策应明确风险管理目标和公司经营哲学。其应该涉及下列重点：
(1)评估和控制经营风险的具体目标。
(2)接受还是拒绝风险的分析框架。
(3)哪些部门负责实施这些政策。
(4)不同经营风险的管理策略，如设立权限用以明确管理层对风险的可容忍度。
(5)风险管理授权部门，即哪些部门或人员经授权并配备公司资源(尤其是面对高风险商业行为时)从而执行具体的风险管理策略。
(6)公司组织结构中每一经理岗位的职能及责任。
(7)业绩考核指标及重大风险汇报机制，包括跨职能部门的汇报，从而使风险管理真正地是在整个企业组织中得到全面执行。
在这一风险管理政策中，首先注重的是风险的内容，而不是如何操作，每一责任经理应该自己制定出管理步骤来执行这些同公司确定的风险管理战略相一致的政策。风险政策一般经董事会批准并在由首席执行官直接负责的管理高层直接指导下运作执行。一般可以建立一个称为风险管理监督委员会的机构，用以协助管理高层确保风险管理政策在公司的不同职能部门和流程中得以一致地执行。一个比较常用的做法是要求每一责任单元对风险进行自我评估(self-assessments)。例如，某流程负责人应该通过风险自我评估对所提相关问题予以关注，进一步评估本流程的业绩表现、风险及风险控制手段。当然，风险自我评估中必须要确保流程责任人能识别风险及分析风险根源，从而可以采用最佳实践和控制程序来防范重大风险。风险自我评估可以釆取多种方式进行，如业绩指标的设立、会议、调整及访谈等都是有益的自我评估方式。有些流程其涉及的经理及所关注到的员工可能是来自不同职能部门的，那么通过培训机制则可以提高风险评估的效果，同时亦可减少所花费的成本。
4.获取并分配相关资源
企业的成功离不开对稀缺资源进行有效的分配，即将资源分配至那些可以生成合理回报同时可对所承担风险进行有效管理的投资项目中去。因此，需要建立一套资源分配机制以确保资源的有效分配。此种机制包括：
(1)制定一套一致的项目风险测评、比较和选择方法。
(2)建立一套监督、评价资源分配结果的系统，又称事后复核(post-audit)。
(3)制定业绩评估指标，为资源分配决策提供信息，这些指标如经济增加值(economicvalue-added,eva)、可控制盈利水平、投资现金回报(cash-flowreturnoninvestment,cfroi)及同行业比较的投入资本。在这个机制中，以下两点关键性风险应该予以考虑：一是投资评估风险，即企业可能缺少足够的财务信息做出长期和短期的投资决策，并将其所接受的风险同所投入的资本面临的风险相联系；二是资源分配风险，即企业做出的资源分配可能无法建立并维持一个比较竞争优势或无法使股东财富最大化。
5.监控组织/业务单元的业绩
企业需要确保其业绩能够达到以下两点要求：
(1)业绩考核的充分平衡。组织业绩考核应通过一系列平衡的指标来进行(平衡计分卡)，不能以牺牲长期业绩来换取短期盈利。
(2)需要同公司战略保持一致。如若企业真正地注重其全面质量水平，则有可能不会向人为单纯达到生产预算而不顾产品质量的生产部门提供任何奖励。总之，要确保企业的内部和外部行为对顾客而言是有价值的，然后据此采用平衡计分的方法进行业绩考核。有效的战略层面控制一般会以下列方式对业绩评价风险进行管理：
(1)在组织层面采用与企业战略相挂钩的业绩指标进行评价。例如，联邦快递公司将公司战略同业务流程挂钩而进行业绩考核。
(2)由于公司的战略可能会随外部环境的改变而调整，因此，需要将这一公司战略在每一业务流程及人员的层面以质量、成本及业绩考核时间的具体形式体现出来。
如若不将公司的业绩同战略目标和组织相联系，这本身就是一个重大风险，因为如若不将二者相联系，管理层永远无法认识到公司的战略是否有效得以实施。制定高标准的考核指标是很关键的，如若这些指导不具有竞争性，则公司的经营风险势必会增大。
6.持续改进战略风险评估及控制流程
与其他商业流程一样，战略层面的风险管理流程亦是需要持续改进的。管理层应持续地提出下列问题：
(1)在决策过程中什么信息是最有用的？
(2)过去发生了哪些错误?哪些事项的发生管理层并未预见到？
(3)过去进行战略风险管理并未使用到的哪些外部环境信息在将来可能会更有帮助？
(4)如若获取了该项信息结果有什么不同?这意味着公司现行信息获取流程出了什么问题？
(5)公司如何改进目前的战略风险控制机制？