जोखिम प्रबंधन

गैर व्यापार जोखिमों के लिए जोखिम या एकार्थकता (disambiguation) पृष्ठ जोखिम विश्लेषण देखें.

जोखिम प्रबंधन का अर्थ है जोखिम की पहचान, मूल्यांकन एवं प्राथमिकीकरण के साथ-साथ संसाधनों का समन्वित तथा आर्थिक प्रयोग कर दुर्भाग्यपूर्ण घटनाओं की संभाव्यता अथवा प्रभाव को न्यूनतम करना, परखना और नियंत्रित करना। ^[1] जोखिम वित्तीय बाजारों में अनिश्चितता, परियोजना की असफलता, वैधानिक देयताएं, ऋण जोखिम, दुर्घटनाएं, प्राकृतिक कारणों और अपदाओं यहां तक कि विरोधियों के जान-बूझकर किए गए आक्रमणों के कारण हो सकते हैं। अनेक जोखिम प्रबंधन मानक विकसित किये गए हैं जिनमे परियोजना प्रबंधन संस्थान, राष्ट्रीय विज्ञान एवं प्रौद्योगिकी संस्थान, बीमांकिक संस्थाएं तथा ISO मानक शामिल हैं।^[2][3] क्या जोखिम प्रबंधन पद्वति परियोजना प्रबंधन, सुरक्षा, अभियांत्रिकी, औद्योगिक प्रक्रियाओं, वित्तीय विभागों, बीमांकिक आकलनों अथवा सार्वजनिक स्वास्थ्य एवं सुरक्षा से सन्दर्भित है - इस बारे में पद्धतियां, परिभाषाएं एवं उद्देश्य व्यापक रूप से भिन्न है।

जोखिम प्रबंधन की रणनीतियों में दूसरे पक्ष को जोखिम का हस्तांतरण, जोखिम को टालना, जोखिम में नकारात्मक प्रभाव को कम करना और किसी खास जोखिम के थोड़े बहुत या सभी नतीजों को मान लेना शामिल हैं।

जोखिम प्रबंधन के मानकों के कई पहलुओं की आलोचना की जा चुकी है क्योंकि मूल्यांकनों और निर्णयों में विशवास के बढ़ने के बावजूद कोई मापनीय सुधार नहीं हुआ है।^[1]

यह खंड जोखिम प्रबंधन के सिद्धांतों से परिचय कराता है। जोखिम प्रबंधन की शब्दावली ISO गाइड 73, "जोखिम प्रबंधन शब्दावली"^[2] में परिभाषित है।

आदर्श जोखिम प्रबंधन में, प्राथमिकता की प्रक्रिया अपनाई जाती है जिसके तहत सबसे बड़ी क्षति पहुंचाने वाली जोखिम की संभावना को सबसे पहले निपटाया जाता है और इसके बाद कम क्षति पहुंचाने वाले संभाव्य जोखिमों को अवरोही क्रम में निपटाया जाता है। व्यवहार में यह प्रक्रिया बहुत मुश्किल हो सकती है, एवं उच्च घटना किन्तु कम क्षति वाले जोखिमों बनाम बड़ी क्षति के साथ जोखिम किन्तु घटना की क्षीण संभावना के बीच संतुलन रखते हुए इसे अक्सर गलत ढंग से निपटाया जा सकता है।

अमूर्त जोखिम प्रबंधन एक नये प्रकार की जोखिम की पहचान करता है जिसमें घटना घटित होने की 100% संभावना होती है लेकिन पहचानने की अक्षमता के कारण संस्था द्वारा ऐसे जोखिम को नज़र अंदाज कर दिया जाता है। उदाहरणार्थ, जब किसी स्थिति में अधूरा ज्ञान लागू किया जाता है, तो ज्ञान का जोखिम उत्पन्न हो जाता है। संबंध का जोखिम तभी सामने उभर कर आता है जब अनुपयोगी सहयोग होता है। प्रक्रिया विनियोजन जोखिम एक समस्या बन जाती है जब अनुपयोगी परिचालन प्रक्रियाएं प्रयोग में लायी जाती हैं। ये जोखिम निपुण कारीगरों की उत्पादकता को प्रत्यक्ष रूप से कम कर देते हैं, लागत की प्रभावकारिता, लाभ, सेवा, गुणवत्ता, प्रतिष्ठा, ब्रांड मूल्य और आय की गुणवत्ता को भी कम कर देते हैं। अमूर्त जोखिम प्रबंधन जोखिम प्रबंधन को उत्पादकता कम करने वाले जोखिमों की पहचान उसकी कमी से अविलम्ब मूल्य (मान) स्थापित करने की अनुमति देता है।

संसाधनों के आवंटन में जोखिम प्रबंधन को कठिनाइयों का भी सामना करना पड़ता है। यह अवसर लागत का विचार है। जोखिम प्रबंधन में खर्च किये गए संसाधनों को अधिक लाभकारी कार्यक्रमों में खर्च किया जा सकता था। पुनः, आदर्श जोखिम प्रबंधन जोखिम के नकारात्मक असर को कम करते हुए खर्च को कम करता है।

अधिकांश भाग के लिए, इन प्रणालियों में निम्नलिखित तत्व होते हैं, जिनका लगभग निम्न क्रम में पालन किया जाता है।

1. खतरों की पहचान करना, विशेषता बताना और उसका आकलन करना
2. खतरों के प्रति जोखिममय परिसंपत्तियों की अतिसंवेदशीलता का आकलन
3. जोखिम का निर्धारण (जैसे, विशेष परिसंपत्तियों पर विशेष हमलों के अनुमानित परिणाम)
4. उन जोखिमों को कम करने के तरीकों की पहचान करना
5. जोखिम को कम करने की रणनीति पर आधारित उपायों को प्राथमिकता प्रदान करना

अन्तर्राष्ट्रीय मानकीकरण संस्थान जोखिम प्रबंधन के निम्नलिखित सिद्धांतों की पहचान करते हैं।^[4]

• जोखिम प्रबंधन को मूल्य को स्थापित करना चाहिए।
• जोखिम प्रबंधन को संगठनात्मक प्रक्रिया का एक अभिन्न अंग होना चाहिए।
• जोखिम प्रबंधन को निर्णय-निर्धारण करने वालों का एक अंग होना चाहिए।
• जोखिम प्रबंधन को स्पष्ट रूप से अनिश्चितता की चर्चा करनी चाहिए।
• जोखिम प्रबंधन को सुव्यवस्थित एवं संरचित होना चाहिए।
• जोखिम प्रबंधन को सर्वोत्तम उपलब्ध सूचना पर आधारित होना चाहिए।
• जोखिम प्रबंधन को अनुकूल होना चाहिए।
• जोखिम प्रबंधन को मानव कारकों को भी ध्यान में रखना चाहिए।
• जोखिम प्रबंधन को पारदर्शी और समग्र होना चाहिए।
• जोखिम प्रबंधन को गतिशील, पुनरावृत्तीय एवं परिवर्तन के प्रति संवेदी होना चाहिए।
• जोखिम प्रबंधन को निरंतर प्रगति एवं संवृद्धि में सक्षम होना चाहिए।

ISO 31000 मानक "जोखिम प्रबंधन - कार्यान्वयन के सिद्धांतों और दिशानिर्देश",^[3] के अनुसार जोखिम प्रबंधन की प्रक्रिया में निम्नलिखित विभिन्न चरण होते हैं :

सन्दर्भ की स्थापना में शामिल हैं:

1. एक चुने हुए हित क्षेत्र में जोखिम की पहचान
2. प्रक्रिया के अवशेष भाग की योजना
3. निम्नलिखित को योजनाबद्ध करना
   • जोखिम प्रबंधन का सामाजिक कार्य क्षेत्र
   • हितधारकों के अस्तित्व एवं उद्देश्यों की पहचान
   • जोखिम में मूल्यांकन के आधार, अड़चनें.
4. क्रियाशीलता के लिए एक रूपरेखा और पहचान के लिए एक कार्यसूची परिभाषित करना
5. इस प्रक्रिया में शामिल जोखिम के विश्लेषण का विकास करना।
6. उपलब्ध तकनीकों, मानव एवं संगठनात्मक संसाधनों का उपयोग कर जोखिम को कम करना।

सन्दर्भ की स्थापना के बाद जोखिम प्रबंधन की प्रक्रिया में अगला कदम संभावित जोखिमों की पहचान करना है। जोखिम उन खतरों के बारे में हैं जो उत्प्रेरित होकर समस्याएं पैदा करते हैं। इसलिए जोखिम की पहचान समस्या के स्रोत से शुरू की जानी चाहिए अथवा स्वतः समस्या के साथ ही.

• स्रोत विश्लेषण ^[] जोखिम स्रोत व्यवस्था के प्रति आंतरिक या बाहरी दोनों ही हो सकते है जो जोखिम प्रबंधन का लक्ष्य है।

जोखिम के स्रोतों के उदाहरण हैं: किसी योजना के हितधारक, कंपनी के कर्मचारीगण अथवा हवाई अड्डे की आबहवा (मौसम).

• समस्या विश्लेषण ^[] जोखिम खतरों की ज्ञात चेतावनियों से संबंधित है। उदाहरण के लिए रुपये खोने की आशंका, गोपनीयता की सूचना के गलत इस्तेमाल की आशंका, अथवा दुर्घटनाओं एवं मृत्यु की आशंका. ये आशंकाएं अनेक प्रकार के अस्तित्वों के साथ मौजूद रह सकती है, जिसमे से सर्वाधिक महत्वपूर्ण शेयरधारकों, ग्राहकों और विधायी निकायों जैसे कि सरकार के साथ हैं।

जब भी स्रोत या समस्या में से कोई एक ज्ञात हो, तो घटनाओं को उत्प्रेरित करने वाले स्रोत अथवा समस्याएं पैदा करने वाली घटनाओं की जांच-पड़ताल की जा सकती है। उदाहरण के लिए: हितधारकों के परियोजना से पीछे हट जाने से परियोजना का वित्तपोषण खतरे में पड़ सकता हैं; यहां तक कि बंद नेटवर्क के अदंर भी कर्मचारियों के द्वारा गोपनीयता की सूचना चुराई जा सकती है; उड़ान भरने के दौरान बिजली कौंधने और लगने से बोईंग 747 के जहाज पर सवार सभी यात्रियों की तत्काल दुर्घटना हो सकती है।

जोखिम पहचान करने की चयनित पद्धति संस्कृति, उद्योग अभ्यास और अनुपालन पर निर्भर करती है। स्रोत, समस्या या घटना की पहचान करने के लिए पहचान पद्धतियों का निर्माण टैम्प्लेटों (खाकों) या खाकों के विकास से होती है। जोखिम की पहचान की आम पद्धतियां हैं:

• उद्देश्यों पर आधारित जोखिम की पहचान ^[] संस्थाओं एवं परियोजना दलों के उद्देश्य हो सकते हैं। किसी भी घटना की पहचान जोखिम के रूप में की जाती है जो किसी उद्देश्य को अंशत: या पूर्णत:प्राप्त करने में खतरनाक है।
• परिदृश्य पर आधारित जोखिम की पहचान परिदृश्य के विश्लेषण में अनेक प्रकार के परिदृश्य पैदा किये जाते है। उद्देश्य की प्राप्ति में परिदृश्य वैकल्पिक उपाय हो सकते हैं अथवा शक्तियों की पारस्परिक क्रिया का विश्लेषण हो सकते हैं, उदाहरण के लिए बाज़ार अथवा युद्ध. कोई भी घटना जो अवांछित परिदृश्य को प्रेरित करती है जोखिम के रूप में पहचानी जा सकती है - भविष्यवादियों द्वारा प्रयुक्त कार्य-प्रणाली के लिए भावी सौदे के अध्ययन को देखें.
• वर्गीकरण विज्ञान पर आधारित जोखिम की पहचान वर्गीकरण विज्ञान पर आधारित जोखिम की पहचान में वर्गीकरण संभावित जोखिम स्रोतों में खराबी है। वर्गीकरण और सर्वोत्तम कार्यप्रणालियों के ज्ञान के आधार पर, एक प्रश्नावली तैयार की जाती है। इन प्रश्नों के उत्तर जोखिमों को उजागर करते हैं। सॉफ्टवेयर उद्योग में वर्गीकरण पर आधारित जोखिम की पहचान CMU/SEI-93-TR-6 में पाई जा सकती है।
• आम जोखिम की जांच Empty citation (मदद) कई उद्योगों में ज्ञात जोखिमों की सूची उपलब्ध है। सूचीबद्ध हर जोखिम की जांच किसी खास परिस्थिति में प्रयोग के लिए की जा सकती है। सॉफ्टवेयर उद्योग में ज्ञात जोखिम का एक उदाहरण सामान्य संवेदनशीलता और प्रदर्शन सूची है जो https://web.archive.org/web/20110820064237/http://www.cve.mitre.org/. में पाए जाते हैं।
• जोखिम का चार्ट बनाना {Crockford, N., "An Introduction to Risk Management, Cambridge, UK, Woodhead-Faulkner 2nd edition1986 p. 18} क्रोक्फोर्ड एन.,"जोखिम प्रबंधन की भूमिका कैम्ब्रिज़, यू.के, वुडहेड फॉल्कनर द्वितीय संस्करण 1986 पृष्ठ. 18} यह पद्धति जोखिम में पड़े संसाधनों को सूचीबद्ध कर उपर्युक्त दृष्टिकोणों को सम्मिलित करती है। संसाधनों को संशोधित करने वाले उन कारकों के लिए खतरों से बचने की सलाह दी जाती है जो जोखिम और परिणामों को कम कर सकते या बढ़ा सकते हैं। इन शीर्षकों के अंतर्गत एक मैट्रिक्स का निर्माण करना विभिन्न प्रकार के दृष्टिकोणों को समर्थ करता है। कोई व्यक्ति संसाधनॉ के साथ शुरूआत कर सकता है और जिन खतरों के प्रति वह अभिमुख रहता है और प्रत्येक के परिणामों के बारे में वह विचार कर सकता है। वैकल्पिक रूप से कोई खतरों के साथ शुरूआत कर सकता है और जिन संसाधनों को वे प्रभावित करेंगे, उनकी जांच कर सकता है या फिर कोई परिणाम के साथ शुरूआत कर सकता है और यह निश्चित कर सकता है कि कौन-कौन से खतरे और संसाधनों के संयोजन उन्हें लाने के लिए शामिल होंगे।

जोखिमों की एकबार पहचान हो जाने पर क्षमता, हानि की संभावित गंभीरता एवं घटित होने की संभावना के संबंध में उनका मूल्यांकन अवश्य किया जाना चाहिए। ये परिणाम मापने में या तो सरल हो सकते है, जैसे कि एक खोयी हुई इमारत के मूल्य की स्थिति में अथवा अप्रत्याशित घटना की संभावना की स्थिति में निश्चित रूप से जानना असंभव है। इसलिए, मूल्यांकन प्रक्रिया में जोखिम प्रबंधन योजना के कार्यान्वयन को उचित प्राथमिकता प्रदान करने के लिए सर्वश्रेष्ठ संभव शिक्षित अनुमान करना जोखिममय है।

जोखिम मूल्यांकन में मूलभूत कठिनाई घटना होने की दर का निर्धारण करना है क्योंकि अतीत की सभी प्रकार की घटनाओं के लिए सांख्यिकीय जानकारी उपलब्ध नहीं है। इसके अलावा, अभौतिक संपतियों (आस्तियों) के मामले में परिणाम की गंभीरता का मूल्यांकन अक्सर कठिन होता है। संपत्ति का मूल्यांकन एक दूसरा प्रश्न है जिस पर गौर करना जरुरी है। इस प्रकार, सर्वश्रेष्ठ शिक्षित विचार एवं उपलब्ध सांख्यिकी सूचना के प्राथमिक स्रोत हैं। फिर भी, जोखिम मूल्यांकन को संस्थाओं के प्रबंधन के लिए ऐसी सूचनाओं की प्रस्तुति करनी चाहिए ताकि प्राथमिक जोखिमों को आसानी से समझा जाए और जोखिम प्रबंधन के फैसलों को प्राथमिकता प्रदान की जा सके। इस प्रकार, जोखिमों को परिमाणित करने के कई सिद्धांत और प्रयास हैं। जोखिम के अनगणित अलग-अलग फार्मूले (सूत्र) मौजूद हैं, लेकिन जोखिम के परिमाण के मापांकन के लिए व्यापक रूप से स्वीकृत सूत्र है:

घटना की दर और घटना के प्रभाव का गुणनफल जोखिम के बराबर होता है

परवर्ती अनुसंधान^[] से यह साफ़ जाहिर होता है कि जोखिम प्रबंधन के आर्थिक लाभ प्रयुक्त फार्मूले पर कम निर्भरशील होते हैं किन्तु वे आवृत्ति और जोखिम मूल्यांकन के तरीकों पर निर्भर करते है।

व्यवसाय में, जोखिम मूल्यांकन के निष्कर्षों को वित्तीय शब्दों में प्रस्तुत करने में सक्षम होना आवश्यक है। रॉबर्ट कोर्टनी जूनियर (Robert courteny Jr (IBM, 1970) ने जोखिम को आर्थिक शर्तों में प्रस्तुत करने का फार्मूला सुझाया.^[5] संयुक्त राज्य अमेरिका के सरकारी अभिकरणों के लिए कोर्टनी फार्मूले को आधिकारिक जोखिम विश्लेषण पद्धति के रूप में स्वीकृत किया गया। यह फार्मूला ALE की गणना (वार्षिक क्षति की अपेक्षा) करने का सुझाव देता है और अनुमानित क्षति मूल्य की तुलना सुरक्षा नियंत्रण कार्यान्वयन (लागत लाभ विश्लेषण) लागत से करता है।

एक बार जोखिमों की पहचान और मूल्यांकन कर लेने पर जोखिम के प्रबंध की सभी तकनीकें नीचे लिखे चार वर्गों में से किसी एक अथवा एकाधिक वर्गों में आती है:^[6]

• बचाव (उन्मूलन करना)
• कमी (कम करना)
• स्थानांतरण (बाहरी स्रोत से सेवाएं प्राप्त करना या बीमा करना)
• धारण (स्वीकार करना और बजट बनाना)

इन रणनीतियों का आदर्श प्रयोग संभव नहीं हो सकता है। इनमें से कुछ ऐसे व्यापार गत मुद्दे शामिल हो सकते हैं जो जोखिम प्रबंधन के फैसले लेने वाले प्रतिष्ठानों या व्यक्तियों के लिए स्वीकार्य नहीं हैं। संयुक्त राज्य रक्षा विभाग, रक्षा अधिग्रहण विश्वविद्यालय (डिफेन्स एक्यूजीशन युनिवर्सिटी) का अन्य स्रोत बचने, नियंत्रित करने, स्वीकार करने या स्थानांतरित करने के लिए इन वर्गों को ACAT नामांकित करती हैं। यह परिवर्णी शब्द ACAT दूसरे ACAT (अभिग्रहण वर्ग) की याद दिलाता है जिसका प्रयोग संयुक्त राज्य अमेरिका के रक्षा उद्योग की प्राप्तियों में किया जाता है, जिसमे जोखिम प्रबंधन निर्णय-निर्धारण और योजना निर्माण में प्रमुख रूप से भाग लेता है।

इसमें जोखिम वाली गतिविधि का निष्पादन नहीं करना शामिल होता है। इसका एक उदाहरण होगा किसी संपत्ति या व्यवसाय नहीं खरीदना ताकि इसकी देयता की जिम्मेदारी नहीं लेनी पड़े. दूसरा उदाहरण हो सकता है हवाई जहाज़ के अपहरण हो जाने के जोखिम से बचने के लिए उड़ान ही न भरना. सभी जोखिमों का जवाब बचाव में दिखाई देता है किन्तु जोखिमों से बचाव का अर्थ है संभावित लाभ को खो देना जिसे जोखिम उठाकर पाया जा सकता था। हानि उठाने के जोखिम से बचने के लिए किसी कारोबार में प्रवेश नहीं करने से लाभ प्राप्त करने की सम्भावना को दूर करता है।

खतरे की रोकथाम का तात्पर्य आपातकाल में जोखिमों की रोकथाम करना है। खतरे की रोकथाम का सर्वप्रथम और सबसे अधिक कारगर चरण खतरों का उन्मूलन है। यदि इसमें बहुत अधिक समय लगता है, इसकी लागत बहुत अधिक होती है, या अन्यथा अव्यावहारिक होता है, तो दूसरा चरण कमी लाना है।

इसमें ऐसी पद्धतियों का समावेश होता है जो हानि की उग्रता या हानि के घटित होने की सम्भावना की संगीनता को कम करता है अथवा ऐसा ही कुछ. उदाहरण के लिए, जल छिड़काव यन्त्र को आग से होने वाली क्षति के जोखिम को कम करने के लिए आग को बुझाने के लिए तैयार किया जाता है। यह पद्धति जल के नुकसान के द्वारा एक अधिक बड़े नुकसान का कारण बन सकती है और इसीलिए यह अनुकूल नहीं हो सकती है। हेलॉन अग्नि शमन प्रणाली जोखिम को कुछ कम कर सकती है लेकिन अधिक लागत इस योजना-नीति के लिए निषेधी हो सकती है।

आधुनिक सॉफ्टवेयर विकास पद्धातियां वृद्धि के आधार पर सॉफ्टवेयर विकसित कर एवं उसे प्रदान कर जोखिम कम करती हैं। प्रारंभिक पद्धतियों इस तथ्य से प्रभावित हुई कि उन्होंने विकास के केवल अंतिम चरण में ही सॉफ्टवेयर प्रदान किए। अतः आरंभिक चरणों में सामना की गई समस्याओं का तात्पर्य कीमती पुनर्निमाण था जिसमें अक्सर पूरी परियोजना ही जोखिम में पड़ जाती थी। पुनरावृत्ति में विकास कर, सॉफ्टवेर परियोजनाएं एक एकल पुनरावृत्ति में नष्ट किये गए प्रयास को सीमित कर सकती है।

यदि बाहरी स्रोत से सेवाएं प्राप्त करने वाला व्यक्ति (आउटसोर्सर) जोखिमों का प्रबंधन करने और उसे कम करने में ऊंची दक्षता प्रदर्शित कर सकता है तो बाहरी स्रोत से सेवाएं प्राप्त करने (आउटसोर्सिंग) का कार्य जोखिम में कमी का एक उदाहरण बन सकता है।^[7] इस स्थिति में कंपनियां केवल अपनी कुछ विभागीय जरूरतों को बाहरी स्रोतों (आउटसोर्स) को ठेके पर देती है। उदाहरण के लिए कोई कंपनी केवल अपने सॉफ्टवेयर विकास, हार्डवेयर सामानों के उत्पादन अथवा दूसरी कंपनी को ग्राहक सहायता की आवश्यकताओं को आउटसोर्स (अन्य स्रोतों को ठेके पर देना) कर सकती है, जबकि व्यवसाय प्रबंधन को स्वंय परिचालित करती है। इस प्रकार, कंपनी उत्पादन प्रक्रिया के बारे में अधिक चिंता कर, विकास दल का प्रबंधन कर, या कॉल सेंटर के लिए एक भौतिक स्थान ढूंढ़ कर व्यवसाय के विकास पर अपना ध्यान केन्द्रित कर सकती है।

इसमें नुकसान होने पर इसे स्वीकार करना शामिल होता है। सच्ची स्व-बीमा इस श्रेणी में आती है। जोखिम प्रतिधारण छोटे जोखिमों के लिए एक व्यवहार्य कार्यनीति है जहां जोखिम के विरुद्ध बीमा की लागत कुल नुकसान की तुलना में अधिक समय में ज्यादा हो सकती है। सभी जोखिमों को जिन्हें टाला अथवा स्थानान्तरित नहीं किया जा सकता उन्हें भूल से ही सही बने रहने दिया जाता है। इसमें वे जोखिम शामिल हैं जो इतने बड़े या विनाशकारी होते हैं कि उनके विरूद्ध बीमा नहीं किया जा सकता है क्योंकि किश्तों (प्रीमियम) की अदायगी ही असाध्य हो जाएगी. इसका एक उदाहरण युद्ध है क्योंकि अधिकांश संपत्ति और जोखिमें युद्ध के विरुद्ध बीमाकृत नहीं की जाती है, इसलिए युद्ध से होने वाली हानि बीमित व्यक्ति के द्वारा प्रतिधारित होती है। बीमाकृत राशि से ऊपर की किसी भी राशि की संभावित क्षति भी प्रतिधारित जोखिम होती है। इसे भी मान लिया जा सकता है कि अगर किसी बड़ी हानि कि सम्भावना कम से कम हो अथवा अधिक बड़ी बीमा व्याप्ति की लागत इतनी बड़ी राशि को सुरक्षा के घेरे में लेती हो तो यह संस्था के लक्ष्यों में अधिक बाधा डालेगी.

पेशेवरों और विद्वानों दोनों की ही शब्दावली में बीमा अनुबंध का क्रय अक्सर "जोखिम का हस्तांतरण" कहा जाता है। हालांकि, तकनीकी तौर पर, कहने पर साधारणतया अनुबंध का क्रेता ही हस्तांतरित हानि के लिए कानूनी रूप से जिम्मेदार होता है, इसका अर्थ यह हुआ कि बीमा की सही -सही व्याख्या घटनोत्तर क्षतिपूरक व्यवस्था के रूप में की जा सकती है। उदाहरणार्थ, व्यक्तिगत आघातों के लिए बीमा पॉलिसी गाड़ी की दुर्घटना की जोखिम को बीमा कंपनी को हस्तांतरित नहीं करती है। पॉलिसी धारक के पास ही जोखिम बना रहता है अर्थात वह व्यक्ति जो दुर्घटना का शिकार होता है। बीमा पॉलिसी केवल यह प्रदान कराती है कि यदि किसी दुर्घटना (घटना) में पॉलिसी धारक भी शामिल होता है तो पॉलिसी धारक को कुछ क्षतिपूर्ति देय होती है, जो कष्ट/क्षति के आनुपातिक होती है।

जोखिम प्रबंधन के कुछ तरीके बहुविध श्रेणियों में आते हैं। जोखिम प्रतिधारण निकाय तकनीकी तौर पर एक वर्ग के लिए जोखिम धारण कर रहे हैं, लेकिन पूरे समूह में इसके विस्तार से समूह के सदस्यों के बीच हस्तांतरण शामिल हो जाता है। पारंपरिक बीमा से यह अलग है जिसमें किसी किश्त (प्रीमियम) का समूह के सदस्यों के बीच विनिमय नहीं होता है लेकिन हानियों का आकलन समूह के सभी सदस्यों के लिए किया जाता है।

हर जोखिम को मापने के लिए उचित नियंत्रणों का चुनाव अथवा प्रत्युपाय करें। जोखिम को कम करने के लिए प्रबंधन के उपयुक्त स्तर अनुमोदन आवश्यक है। उदाहरण के लिए, संस्था की छवि से संबंधित जोखिम के पीछे उच्च स्तरीय प्रबंधन का निर्णय होना चाहिए जबकि कंप्यूटर वाइरस जोखिम के निर्णय का अधिकार सूचना प्रौद्योगिकी प्रबंधन के पास रहेगा.

जोखिम प्रबंधन के लिए जोखिम प्रबंधन योजना को प्रयोज्य (उचित) और प्रभावकारी सुरक्षा नियंत्रणों के प्रस्ताव पेश करने चाहिए। उदाहरण के लिए, एक विदित उच्च जोखिम वाले कंप्यूटर वाइरस के जोखिम को एंटी वाइरस सॉफ्टवेयर प्राप्त एवं कार्यान्वित कर कम किया जा सकता है। एक अच्छी जोखिम प्रबंधन परियोजना में कार्यान्वयन के नियंत्रण एवं उन कार्यों के लिए जिम्मेदार व्यक्तियों के लिए नियत कार्यक्रम होना चाहिए।

ISO/IEC 27001 के अनुसार जोखिम विश्लेषण के तुरंत बाद पूरा होने वाले चरण में जो पड़ाव आता है उसमें जोखिम उपचार योजना तैयार करना शामिल है, जिसे उन फैसलों के सम्बन्ध में दस्तावेज पेश करना चाहिए कि पहचान किए गए प्रत्येक जोखिम का प्रबंधन कैसे किया जाना चाहिए। अक्सर जोखिमों में कमी से तात्पर्य सुरक्षा नियंत्रणों का चुनाव करना है जिसे व्यावहारिकता के विवरण (स्टेटमेंट ऑफ़ एप्लिकेबिलीटी) में दस्तावेजित किया जाना चाहिए जो यह निर्धारित करता है कि किस ख़ास नियंत्रण का चुनाव उद्देश्यों के आधार पर और किस मानक के आधार पर किया गया है और क्यों.

क्रियान्वयन जोखिमों के प्रभाव को कम करने के लिए सभी सुनियोजित पद्धतियों का अनुपालन करें। उन जोखिमों के लिए बीमा पॉलिसियां खरीदें जिसे किसी बीमाधारक को हस्तांतरित करने का निर्णय लिया जा चुका है, उन सभी जोखिमों से बचें जिससे कंपनी के लक्ष्यों का त्याग किए बिना दूसरों को कम कर एवं शेष को बरकरार रख कर बचा जा सकता है।

प्रारंभिक जोखिम प्रबंधन योजना कभी परिपूर्ण नहीं होगी। अभ्यास, अनुभव और वास्तविक हानि के परिणाम योजना में परिवर्तनों को अनिवार्य बना देंगे और सामना किए जा रहे जोखिमों से निपटने के लिए किए जाने वाले विभिन्न फैसलों के लिए हर संभव अनुमति प्रदान करेंगे।

जोखिम विश्लेषण के परिणाम और प्रबंधन की योजनाओं को समय-समय पर अद्यतन किया जान चाहिए। इसके दो प्राथमिक कारण हैं:

1. यह मूल्यांकन करना कि पहले से ही चयनित सुरक्षा नियंत्रण क्या अब भी प्रयोज्य और प्रभावी हैं या नहीं और
2. व्यवसाय के परिवेश में जोखिम के स्तरों में संभावित परिवर्तनों का मूल्यांकन करना। उदाहरण के लिए, सूचना संबंधी जोखिम तेजी से बदलते हुए वाणिज्यिक परिवेश के आदर्श उदाहरण हैं।

अगर जोखिमों का अनुचित मूल्यांकन किया गया है और अनुचित प्राथमिकता प्रदान की गई है, तो असंभावित नुकसानॉ के जोखिम से निपटने में समय की बर्बादी हो सकती है। असंभावित जोखिमों का आकलन और प्रबंधन में बहुत अधिक समय व्ययतीत करने से अधिक लाभप्रद ढंग से प्रयोग किये जा सकने वाले संसाधनॉ का दूसरे कामों में उपयोग हो सकता है। असम्भाव्य घटनाएं घटती ही हैं लेकिन यदि जोखिम के होने की सम्भावना भी असंभावित हो तो यही बेहतर होगा कि जोखिम को अपने साथ ही बरकरार रहने दिया जाए और वास्तव में हानि होने पर परिणाम के साथ निपटा जाए. गुणात्मक जोखिम का मूल्यांकन व्यक्तिपरक होता है और इसमें सामंजस्य का अभाव होता है। औपचारिक जोखिम के मूल्यांकन की प्रक्रिया का प्राथमिक औचित्य बैध और अधिकारी तंत्र प्रधान है।

जोखिम प्रबंधन की प्रक्रिया को अत्यधिक प्राथमिकता प्रदान करना किसी संस्था को परियोजना को पूर्ण करने नहीं देता है, या यहां तक कि प्रारंभ ही नहीं करने देता है। विशेष रूप से यह तब सच होता है जब तक कि जोखिम प्रबंधन की प्रक्रिया पूर्ण नहीं मानी जाने तक अन्य कार्य निलंबित कर दिया जाता है।

जोखिम और अनिश्चयता के बीच अंतर को भी ध्यान में रखना महत्वपूर्ण है। जोखिम को प्रभाव और सम्भाव्यता के गुणनफल से मापा जा सकता है।

कंपनी वित्त के साथ लागू होने वाला, जोखिम प्रबंधन किसी फर्म के तुलन पत्र (बैलेंस शीट) में वित्तीय अथवा परिचालन सम्बन्धी जोखिम को मापने, देख-रेख (मॉनिटर) करने और नियंत्रित करने की तकनीक है। मूल्य को जोखिम में देखें.

द बासेल II की बनाई रूपरेखा जोखिमों को बाज़ार जोखिम (मूल्य जोखिम), ऋण संबंधी जोखिम और परिचालन संबंधी जोखिम में विभाजित करती है और इनमें से प्रत्येक घटक के लिए पूंजीगत आवश्यकताओं की गणना करने की पद्धति का भी विस्तृत विवरण देती है।

जोखिम प्रबंधन के उद्यम में जोखिम को ऐसी संभाव्य घटना अथवा परिस्थिति के रूप में परिभाषित किया गया है जिसका उल्लिखित उद्यम पर नकारात्मक प्रभाव पड़ सकता है। इसका प्रभाव पूरे अस्तित्व, संसाधनों (मानव और पूंजी), उत्पाद और सेवाओ अथवा उद्यम के उपभोक्ताओं पर साथ ही साथ बाह्य रूप से समाज, बाज़ार अथवा परिवेश पर पड़ सकता है। किसी वित्तीय संस्थान में उद्यम संबंधी जोखिम प्रबंधन को सामान्य रूप से ऋण संबंधी जोखिम, ब्याज दर जोखिम अथवा आस्ति देयता प्रबंधन, बाज़ार संबंधी जोखिम और परिचालन संबंधी जोखिम का समन्वय समझा जाता है।

अधिकतर सामान्य मामले में, अपने संभावित परिणाम से निपटने के लिए (अगर जोखिम देयता हो जाता है तो आकस्मिक व्यय सुनिश्चित करने के लिए) हर संभाव्य जोखिम के पास पूर्व प्रतिपादित परिकल्पना होती है।

उपरोक्त सूचनाओं और प्रति कर्मचारी समयोपरि औसत व्यय या लागत सम्भूति अनुपात के आधार पर एक परियोजना प्रबंधक अनुमान कर सकता है:

• जोखिम से जुड़ी लागत की गणना, जोखिम उत्पन्न होने पर प्रति इकाई समय में कर्मचारी संबंधी लागत को अनुमानित नष्ट समय (लागत संघात, जहां 'C = लागत सम्भूति अनुपात * S) के साथ गुणा कर की जाती है).
• जोखिम से जुड़े समय में संभाव्य वृद्धि (जोखिम के कारण अनुसूची में अंतर Rs जिसमें Rs = P * S):
  • इस मूल्य-मान के वर्गीकरण में उच्चतम जोखिम को अनुसूची में प्रथम स्थान प्रदान किया जाता है। इसका उद्देश्य है कि परियोजना के सबसे बड़े जोखिम के सम्बन्ध में सबसे पहले प्रयास किया जाए ताकि जोखिम को यथाशीघ्र कम किया जा सके।
  • यह नियत अंतर के रूप में थोड़ा भ्रामक है जिसमें एक बड़ा P और छोटा S और इसके विलोमतः समतुल्य नहीं होता है। (RMS टाइटानिक के डूबने का जोखिम बनाम यात्रियों को थोड़े से गलत समय में भोजन परोसा जाना).
• जोखिम से जुड़े लागत में संभावित वृद्धि (जोखिम के कारण लागत में उतार चढ़ाव, Rc जहां Rc = = P*C = P*CAR*S = P*S*CAR)
  • इस मूल्य के वर्गीकरण में बजट के प्रति उच्चतम जोखिम को अनुसूची में सर्प्रथम स्थान प्रदान किया जाता है।
  • अनुसूची में नियत अंतर (उतार-चढ़ाव) के बारे में चिंताओं को देखें क्योंकि यह उसका एक कार्य है, जैसा कि उपर्युक्त समीकरण में दर्शाया गया है।

किसी परियोजना अथवा प्रणाली में जोखिम या तो विशेष कारण परिवर्तन अथवा सामान्य कारण परिवर्तन के कारण होते हैं और उन्हें उचित उपचार की आवश्यकता होती है। अर्थात उपरोक्त सूची में उल्लिखित असमतुल्य बाहरी कारणों के प्रति चिंता को दोहराना.

परियोजना प्रबंधन में जोखिम प्रबंधन की निम्नलिखित गतिविधियां शामिल होती हैं:

• किसी विशेष परियोजना में जोखिम के प्रबंध के उपाय की योजना बनाना. इस योजना में जोखिम प्रबंधन संबंधी कार्य, जिम्मेदारियां, गतिविधियां और बजट शामिल होने चाहिए।
• जोखिम अधिकारी की नियुक्ति- परियोजना प्रबंधक के अलावा दल का एक सदस्य जो परियोजना की संभावित समस्या को पहले से ही जानने के लिए उत्तरदायी है। जोखिम अधिकारी का विशिष्ट चारित्रिक गुण एक स्वस्थ संशयवाद है।
• सक्रिय परियोजना जोखिम संबंधी आंकड़ा संचय (डाटाबेस) कायम रखना. प्रत्येक जोखिम में निम्नलिखित विशेषताएं होनी चाहिए: खोलने की तिथि, शीर्षक, संक्षिप्त विवरण, सम्भावना और महत्त्व. वैकल्पिक रूप से एक जोखिम के हल के लिए एक नियत व्यक्ति उत्तरदायी होना चाहिए और एक तिथि होनी चाहिए जिसके भीतर जोखिम का हल अवश्य किया जाना चाहिए।
• बेनाम जोखिम सूचित करने वाला माध्यम तैयार करना। दल के प्रत्येक सदस्य के पास परियोजना में पूर्वानुमानित जोखिम सूचित करने की सम्भावना होनी चाहिए।
• उन जोखिमों में कमी (न्यूनीकरण) की योजना बनाना जिनमें कमी लाने के लिए चुना जाता है। न्यूनीकरण योजना का उद्देश्य यह वर्णन करना है कि किस प्रकार किसी ख़ास जोखिम को निपटाया जाएगा -- क्या, कब, किसके द्वारा और इसे किस प्रकार किया जाए ताकि जोखिम अगर देयता बन जाता है तो उसका वर्जन (त्याग) अथवा परिणामों को कम जा सके।
• प्रायोजित और सामना किये जा चुके जोखिमों का संक्षेपण करना, न्यूनीकरण की गतिविधियों की प्रभावोत्पादकता और जोखिम प्रबंधन के लिए किए गए प्रयास.

जोखिम प्रबंधन किसी संस्था के प्रति होने वाली खतरे की आशंका को कम करने के लिए लागत प्रभावी प्रस्तावों को सुव्यवस्थित ढंग से चुनने की केवल एक कार्यप्रणाली है। सभी जोखिमों की पूरी तरह उपेक्षा अथवा न्यूनीकरण केवल आर्थिक और व्यावहारिक सीमाओं के कारण नहीं की जा सकती है। इसलिए सभी संस्थाओं को कुछ स्तर तक अवशिष्ट जोखिमों को स्वीकार करना पड़ता है।

जबकि जोखिम प्रबंधन पूर्वक्रय अभिमुखी होता है, व्यापार निरंतरता योजना (BCP) का आविष्कार अनुभूत अवशिष्ट जोखिमों के परिणामों से निपटने के लिए किया गया था। BCP को सही स्थान में रखने की आवश्यकता उत्पन्न होती है क्योंकि पर्याप्त समय देने पर असंभावित घटनाएं भी हो सकती हैं। अक्सर जोखिम प्रबंधन और BCP को भूल से एक दूसरे के प्रतिद्वंद्वी अथवा अतिव्यापि कार्यप्रणालियों के रूप में देखा जाता है। वास्तव में ये प्रक्रियाएं एक दूसरे के साथ इतनी कसकर बंधी हुई होती है कि ऐसा अलगाव बनावटी लगता है। उदाहरण के लिए, जोखिम प्रबंधन की प्रक्रिया BCP के लिए (परिसंपत्तियां, प्रभाव आकलन, लागत मूल्यांकन इत्यादि) महत्वपूर्ण निवेशों की सृष्टि करती है। जोखिम प्रबंधन अवलोकित जोखिमों के लिए प्रयोज्य नियंत्रणों का प्रस्ताव भी देती है। इसलिए, जोखिम प्रबंधन कई ऐसे क्षेत्रों को शामिल करती हैं जो BCP प्रणाली के लिए महत्वपूर्ण होती हैं। हालांकि, BCP प्रक्रिया जोखिम प्रबंधन के पूर्वक्रय दृष्टिकोण से बाहर निकलकर इस पूर्वानुमान से आगे बढ़ जाती है कि किसी न किसी विन्दु पर दुर्घटना घटेगी.

जोखिम संचार एक जटिल पार अनुशासनिक अकादमिक क्षेत्र है। जोखिम संचारकों के लिए यही एक समस्या है कि अभिप्रेत श्रोताओं/दर्शकों के पास कैसे पहुंचा जाए ताकि जोखिम को अन्य जोखिमों की तुलना में बोधगम्य और प्रासंगिक बनाया जाए, जोखिम से सम्बंधित दर्शकों के मूल्यों के प्रति उचित सम्मान कैसे दिया जाए, संचार के प्रति दर्शकों की प्रतिक्रिया का पूर्वानुमान कैसे किया जाय इत्यादि. जोखिम संचार के प्रमुख लक्ष्य है, सामूहिक और व्यक्तिगत निर्णय निर्धारण में सुधार. जोखिम संचार कुछ हद तक संकट संचार से संबंधित है।

(जैसा कि अमेरिकी पर्यावरण संरक्षण एजेंसी एवं अनेक क्षेत्र संस्थापकों ने पहले ही अभिव्यक्त कर दिया है)

• जनता को वैध साझेदार के रूप में स्वीकार करना और शामिल करना
• सावधानीपूर्वक योजना बनाना और अपने प्रयासों की सतर्कता से योजना बनाकर मूल्यांकन करना
• जनता की ख़ास चिंताओं को सुनना
• ईमानदार, निष्कपट और स्पष्ट होना
• अन्य विश्वसनीय सूत्रों के साथ समन्वय और सहयोग स्थापित करना
• मीडिया की जरूरतों को पूरा करना
• करूणा के साथ स्पष्टवादिता

माध्यम: जोखिम प्रबंधन के सात मूलभूत नियम. विंसेंट टी. कॉवेलो और फ्रेडरिक एच. एलन के द्वारा तैयार की गई पुस्तिका. U.S. पर्यावरण संरक्षण एजेंसी, वाशिंगटन, DC, अप्रैल 1988, OPA-87-020.

• Alberts, Christopher (March 2008). "Mission Diagnostic Protocol, Version 1.0: A Risk-Based Approach for Assessing the Potential for Success". Software Engineering Institute. अभिगमन तिथि:
• Alexander, Carol and Sheedy, Elizabeth (2005). The Professional Risk Managers' Handbook: A Comprehensive Guide to Current Theory and Best Practices. PRMIA Publications. आई॰ऍस॰बी॰ऍन॰ 0-9766097-0-3.सीएस1 रखरखाव: एक से अधिक नाम: authors list (link)
• Borodzicz, Edward (2005). Risk, Crisis and Security Management. New York: Wiley. आई॰ऍस॰बी॰ऍन॰ 0-470-86704-3.
• Crockford, Neil (1986). An Introduction to Risk Management (2nd ed.). Woodhead-Faulkner. आई॰ऍस॰बी॰ऍन॰ 0-85941-332-2.
• Flyvbjerg, Bent (2006). "From Nobel Prize to Project Management: Getting Risks Right" (PDF). Project Management Journal. Project Management Institute. 37 (3): 5–15. मूल (PDF) से 28 मई 2008 को पुरालेखित. अभिगमन तिथि 26 मई 2008. नामालूम प्राचल |month= की उपेक्षा की गयी (मदद)
• Gorrod, Martin (2004). Risk Management Systems : Technology Trends (Finance and Capital Markets). Basingstoke: Palgrave Macmillan. आई॰ऍस॰बी॰ऍन॰ 1-4039-1617-9.
• Stoneburner, Gary; Goguen, Alice and Feringa, Alexis (2002). Risk Management Guide for Information Technology Systems (PDF). Gaithersburg, MD: National Institute of Standards and Technology. मूल (PDF) से 27 सितंबर 2011 को पुरालेखित. अभिगमन तिथि 18 दिसंबर 2009. नामालूम प्राचल |month= की उपेक्षा की गयी (मदद)सीएस1 रखरखाव: एक से अधिक नाम: authors list (link)
• Ward, Dan; Quaid, Chris (March/April 2007). "The Pursuit of Courage, Judgment and Luck" (PDF). Defense AT&L. Defense Acquisition University: 28–30. मूल (PDF) से 24 जून 2008 को पुरालेखित. अभिगमन तिथि 26 मई 2008. |date= में तिथि प्राचल का मान जाँचें (मदद)
• United States Environmental Protection Agency (2004). General Risk Management Program Guidance. United State Environmental Protection Agency. मूल से 20 अप्रैल 2009 को पुरालेखित. अभिगमन तिथि 18 दिसंबर 2009. नामालूम प्राचल |month= की उपेक्षा की गयी (मदद)
• Standards Association of Australia (1999). Risk management. North Sydney, N.S.W: Standards Association of Australia. आई॰ऍस॰बी॰ऍन॰ 0-7337-2647-X.
• IRM/AIRMIC/ALARM (2002). A Risk Management Standard. London: Institute of Risk Management. मूल से 22 अगस्त 2009 को पुरालेखित. अभिगमन तिथि 18 दिसंबर 2009.
• John Moteff (2005) Risk Management and Critical Infrastructure Protection: Assessing, Integrating, and Managing Threats, Vulnerabilities and Consequences. Washington DC: Congressional Research Service. (Report). Retrieved 18 दिसंबर 2009.

• मुक्त निर्देशिका परियोजना पर जोखिम प्रबंधन
• जोखिम प्रबंधन पर टीकाकृत ग्रंथ सूची