A incerteza é permanente; o risco não avaliado é opcional. A gestão de riscos é o processo de identificação, avaliação e resposta a potenciais eventos que possam afetar a concretização dos objetivos.

As respostas incluem evitar, mitigar, transferir e aceitar. Tanto em projetos como em empresas, os registos de riscos, os indicadores de alerta precoce e os planos de contingência transformam as preocupações vagas em exposição gerida. As avaliações de probabilidade e impacto ajudam a priorizar a atenção.

A gestão do risco falha quando se torna uma mera burocracia sem ação concreta ou quando o otimismo excessivo suprime as más notícias. As boas práticas identificam os riscos precocemente, atribuem responsáveis ​​e reavaliam as premissas à medida que as condições se alteram. Os conselhos de administração e os patrocinadores de projetos esperam cada vez mais evidências de uma supervisão ativa dos riscos.

• Identificação, avaliação e resposta a eventos incertos.
• Utiliza os termos "evitar", "mitigar", "transferir" ou "aceitar".
• Suportado por registos, indicadores e planos de contingência.
• Requer honestidade e atenção constante.