A gestão de riscos consiste em um conjunto de atividades coordenadas para identificar, analisar, avaliar, tratar e monitorar riscos. É o processo que visa conferir razoável segurança quanto ao alcance dos objetivos.

A finalidade da avaliação de riscos é auxiliar na tomada de decisões dos executivos, com base nos levantamentos e comprovações metodologicamente estruturados, validados pelos usuários da informação e que têm por finalidade agregar valor ao resultado operacional da organização, apresentando subsídios para o aperfeiçoamento dos controles internos.

A implantação e o aprimoramento da gestão de riscos em uma organização constituem um processo de controle e tomada de decisão, que começa com o levantamento de dados financeiros e econômicos e avança para o gerenciamento dos riscos e implementação de práticas e estruturas necessárias.

A redução ou mitigação do risco consiste em adotar medidas para reduzir a probabilidade ou a consequência dos riscos ou até mesmo ambos. Os procedimentos que uma organização estabelece para tratar riscos são denominados de atividades de controle operacional e financeiro.

O processo de gestão de riscos envolve a identificação, a análise e a avaliação de riscos, a seleção e a implementação de respostas aos riscos avaliados, o monitoramento de riscos e controles, e, obrigatoriamente, a comunicação sobre o processo aos usuários externos.