近年来主导着全球注意力的新闻，包括恐怖袭击、公司丑闻、自然灾害、金融市场动荡，引发了企业风险管理实践的重心转移。风险计算历来在管理决策中占据着中心地位，但当今的企业主管们深切意识到：需要主动处理有可能威胁到公司业务的种种不确定因素。
各种风险往往相伴而生。比如，有关营运风险的消息一旦传出去，引起股价下跌，那么营运风险就很快演变为市场风险。
1999年夏，比利时的可口可乐瓶装厂曝出劣质二氧化碳原料新闻，引发健康恐慌。随后的产品撤出，以及糟糕的危机管理，使可口可乐的股价在两个月内下降了13%。该公司花了1亿多美元召回产品，使该年第二季度的净收入下降了21%.
人为错误也会产生同样严重的结果，2001年,一个经纪人打错了一份订单，把价值4.3亿美元的股票当4300万美元卖了出去，导致FTSE 100指数下降了2.2%。
纵观80和90年代，此等天灾人祸和轰动性的公司丑闻接踵而至，比如巴林银行(Barings Bank)、安然(Enron)以及Worldcom，促使监管机构采取措施。欧洲监管机构“巴塞尔银行监管委员会”(The Basel Committee for Banking Supervision)和英国“特恩布尔委员会”(Turnbull Committee)现在都要求企业和金融机构采用更完备的风险管理办法，即所谓的“企业风险管理”(Enterprise Risk Management, ERM)。
企业风险管理(ERM)是一套系统化的方法，用来理解和管理企业面临的各种风险。首先，管理者必须识别公司各个层面面临的商业风险，上至董事会，下至部门经理。这话说来简单，其实比较复杂，因为公司内部对风险的容忍程度不一样。此外，ERM框架固然可以超越企业间的差异，提供一套透明、一致的风险管理语言，但大部分公司还不会说这种语言。麦肯锡公司(McKinsey)2002年5月对企业主管开展了一项调查，结果显示，36%的企业主管并不完全了解企业所面临的风险。
管理者在识别风险的时候，应考虑三大类别：
金融风险。金融风险的产生缘由，有可能是市场的变动，也有可能是企业债权人地位状况的变化。例如，1998年，俄罗斯政府停止偿付债券，导致卢布贬值，使拥有俄罗斯资产的企业蒙受经济损失。
运营风险。比利时的可口可乐事件就是个例子。运营风险的产生，多半是由于程序和制度不完善。这类失误是有办法减少的。通用电气(GE)等制造商开展了诸如“六个西格玛”(Six Sigma)等项目，以大幅减少特定生产周期内的失误数量。
业务量风险。如果企业在产品和服务需求、供应链结构或者竞争环境方面遇到意外变故，那么企业就面临业务量风险。互联网的发展就产生了许多这样的风险。例如，网络书店亚马逊(Amazon.com)就冲击了美国老牌书店Barnes and Noble的商业模式，打破了图书市场的平衡。
企业风险管理(ERM)的第二步，是对风险进行评估。风险模拟有一些先进的方法，如决策分析(decision analysis)、风险值计算(value-at-risk calculations)和情境规划(scenario planning)。这些方法有助于管理者评估特定事件的发生几率。例如微软公司(Microsoft)就运用风险值计算的方法，衡量其市场风险，而皇家荷兰／壳牌石油(Royal Dutch/Shell)是率先运用“定量情境规划”的企业之一。
最后一步也最关键：一旦风险已得到识别和评估，就必须对其进行管理。这里通常有两种方法：一种是运用内部资源，比如自我保险。另外一种是将风险转移给第三方，或者与之分担。
自我保险就是企业把投资的资金留出来一部分，一旦出现问题，就用这笔资金来补偿损失。这等于是企业在内部设立了一笔保险金。至于风险分担，典型做法之一是生产商将部分生产流程外包出去。这并不意味着威胁完全消失，而是接受外包的企业在生产流程的相关环节有所专长，发生失误的几率大为降低。另外，企业通过外包，可集中精力处理它能够对付的内部风险。
风险分担也可能涉及资本市场。企业可决定发行灾难债券，把自己承受的灾难风险转移到金融市场。这种债券是如何运作的呢？以发行地震风险债券的保险公司为例。如果在特定时间、地点范围内，地震真的发生了，债券投资者就拿不到任何回报，保险公司用这笔钱来承担损失。如果地震没有发生，那么投资者就可拿回投资，还会有红利。
与传统的保险或再保险合约不同，灾难债券的发行额是不受限制的。例如，媒体公司维旺迪(Vivendi)于2003年发行了一种灾难债券，针对公司在加州业务面临的地震风险，债券可覆盖的损失总额达1.75亿美元。
