Es sollte im Unternehmen in Form einer Politik formuliert sein: Der Umgang mit Risiko. Wie für Unternehmenspolitiken üblich, gibt es drei Themenbereiche in der Risikopolitik:
- Ziele
- Strategien
- Maßnahmen
Die Risikomanagementpolitik ist in der Norm ISO 31000:2009 im Abschnitt 2.4 wie folgt definiert:
"Darlegung der allgemeinen Absichten und Ausrichtungen einer Organisation im Zusammenhang mit dem Risikomanagement."