Internkontroll er det systematiske arbeidet virksomheten gjør for å sikre at aktiviteter og prosesser foregår på en forsvarlig måte og i tråd med mål, lovkrav og interne retningslinjer. Risikostyringen er selve fundamentet for dette arbeidet. Før man kan bestemme hvilke gjennomførings- og kvalitetssikringsinstrukser man trenger, må man vite hva som kan gå galt og hvor det kan skje. Risikovurderingen fungerer som et diagnostisk verktøy som identifiserer de viktigste farene og truslene, slik at ressursene i internkontrollarbeidet kan kanaliseres dit de gir størst effekt. Uten en risikovurdering risikerer man å kaste bort ressurskrevende tilleggsarbeid innenfor lite kritiske områder, samtidig som man overser kritiske sårbarheter.

Myndighetskrav
Krav til risikostyring er forankret i ulike deler av norsk lovverk, avhengig av virksomhetens art:

Internkontrollforskriften, og hvor  forskriften krever at virksomheten systematisk kartlegger farer og problemer, vurderer risikoen og utarbeider planer og tiltak for å redusere den.

Aksjeloven/Allmennaksjeloven, hvor Styrer i norske selskaper har et lovpålagt ansvar for å sørge for forsvarlig organisering og at ledelsen etablerer systemer for internkontroll og risikostyring.

Personopplysningsloven : Krever risikovurdering (gjerne DPIA) for behandlingsaktiviteter med høy risiko for de registrertes rettigheter og friheter.

Disse kravene innebærer at risikostyring ikke er en valgfri øvelse, men en lovpålagt plikt som må dokumenteres og følges opp.

Fra usikkerhet til vurdert og styrt risikoforhold

Arbeidet med risikostyring følger av følgende sykliske prosess og som må være integrert i virksomhetens styringssystem:

1. Risikoidentifikasjon:
Dette er det første og mest kritiske steget. Man identifiserer usikkerhetskildene, truslene, og de mulige konsekvensene. Spørsmålet man stiller er: "Hva kan hindre oss i å nå målene eller etterkomme forpliktelsene våre?" Dette gjøres gjennom analyse av prosesser, aktiviteter, intervjuer, sjekklister og erfaring fra tidligere avvik mv.. Man ser etter sårbarheter (Usikkerhet) i systemer, prosesser, aktiviteter og instrukser.

2. Risikovurdering (Analyse og evaluering):
Her kvantifiserer eller kvalifiserer man de identifiserte risikoforhorholdene. Hver identifisert risiko analyseres med tanke på sannsynlighet for at hendelsen inntreffer og konsekvens hvis den inntreffer. Resultatet, som er selve risikonivået, sammenlignes deretter med virksomhetens risikoaksepteptkriterer og som definerer hvor mye risiko virksomheten er villig- eller kan sies å tillates å tåle innenfor de ulike risikoforholdene.

Dette trinnet har som mål å beregne den inherente risikoen (risikoen før nye tiltak er iverksatt) for hvert identifiserte risikoaspekt. Man bruker typisk en risikomatrise for å illustrere dette.