ISO 31000 riskienhallintastandardin lähtökohtana on ajatus siitä, että yrityksen riskejä peilataan lähtökohtaisesti sen tavoitteita vasten.

Yrityksen ulkoista ja sisäistä toimintaympäristöä on tarkesteltava riittävässä laajuudessa sen nykytilanteen ymmärtämiseksi.

Ulkoisen toimintaympäristön tilaa voidaan analysoida vanhalla kunnon PEST(LE) analyysilla. Se muodostuu (mutta ei välttämärrä rajoitu) seuraaviin aiheisiin:

P – poliittinen toimintaympäristö

E – taloudellinen toimintaympäristö

S – sosiaalinen ja kulttuuriympäristö

T – teknologinen toimintaympäristö

L – oikeudellinen toimintaympäristö (lait, määräykset, jne.)

E – ympäristö ja luonto

Näiden aihealueiden avulla pyritään löytämään ne avainasiat, joiden uskotaan tulevaisuudessa eniten vaikuttavan yrityksen toimintaan.

Yrityksen sisäistä toimintaympäristöä voidaan tarkastella analysoimalla sen

• Rakennetta (Structure)
• Prosesseja, rutiineja ja toimintatapoja (Systems)
• Strategiaa (Strategy)
• Henkilöstöä (Staff): lukumäärää, laatua, jne.
• Yrityskulttuuria (Style)
• Yrityksen ja henkilöstön tietoja ja taitoja (Skills)
• Arvoja, uskomuksia, jne (Shared values / Superordinate goals)

Ulkoisen toimintaympäristön analyysin avulla selvitetään toimialan tai toiminta-alueen avaintekijöitä. Niiden avulla saadaan käsitys yrityksen ulkoisten tekijöiden aiheuttamista uhista ja mahdollisuuksista (riskit) toimintaympäristössä.

Sisäisen analyysin avulla selvitetään yrityksen historia ja nykytila. Niiden perusteella määritellään sen vahvuudet ja heikkoudet.

Perinteisen SWOT analyysin avulla etsitään yrityksen tavoitteiden kannalta tärkeimmät ilmi tulleet asiat. Niitä verrataan nykyiseen strategiaan (= ne keinot miten asetettuihin tavoitteisiin aiotaan päästä) ja tavoitteisiin.

Koko prosessin avulla pyritään löytämään ne positiiviset tai negatiiviset poikkeamat valitusta strategiasta, joihin on syytä tavalla tai toisella varautua.