ISO 31000 — стандарт, содержащий принципы и указания по построению системы управления рисками. Позиционируется как база для всех риско-ориентированных систем управления. В новых редакциях ISO 27001 и ISO 22301 появились прямые ссылки на ISO 31000. Процесс управления рисками строится в пять шагов: 1) Установление контекста — определение охвата, целей, заинтересованных лиц, анализ целенаправленной деятельности организации и ограничений. 2) Идентификация риска — систематический процесс понимания того, что может произойти, как, где, почему и при каких обстоятельствах. 3) Анализ риска — понимание причин и последствий, определение того, как риск угрожает достижению целей. 4) Оценка риска — определение, какие риски нуждаются в обработке, качественная или количественная оценка (вероятность и ущерб), ранжирование, принятие решения о приемлемости. 5) Реагирование на риски — выбор стратегии: принятие (риск несущественен), снижение (риск существенен, нужно минимизировать), избегание (деятельность можно делать иначе, избегая рисков), перенос (страхование, аутсорсинг). Разрабатываются меры снижения, анализируются с точки зрения экономической эффективности, выбираются наиболее эффективные и внедряются. Требуется постоянный мониторинг и оценка, так как среда меняется, новые риски появляются, существующие изменяются. Процесс требует вовлечения многих сторон, технической экспертизы, работы в группах, участия руководства, коммуникаций и консультаций.