A l’issu du processus de connaissance des risques, les dirigeants ont une vision globale des risques de l’entreprise et peuvent maintenant entamer la phase proprement dite de gestion des risque. Celle-ci est effectuée en tenant compte d’un seuil de risque appelé « l’appétence au risque de l’entreprise » qui représente le risque que l’entreprise est prête à prendre dans sa stratégie pour atteindre ses objectifs. Ainsi, les risques nets supérieurs au seuil ci-dessus seront considérés comme « majeurs » et nécessiteront une surveillance particulière de la part des dirigeants. Cela n’empêche pas que tous les risques de l’entreprise doivent être maîtrisés.
Toutefois, la stratégie de gestion des risques est élaborée par la Direction générale mais elle est validée par le Conseil d’administration. Elle concerne le traitement des risques et le maintien du dispositif de gestion des risques.