风险的概念，国际标准化组织发布的ISO31000对风险的界定为：风险是不确定性对目标的影响。其中的影响是实际与期待的偏差，包括积极的影响、消极的影响，或两者兼而有之。目标可以有不同方面，如财务、健康安全、环境目标等，可以体现在战略、组织结构、项目、产品和过程等不同层次。风险通常以潜在事件和后果或它们的组合来描述。不确定性是指对事件可能性及其后果的认知，以及理解所需信息的缺乏或不完整的状态。国务院国有资产监督管理委员会2006年发布的《中央企业全面风险管理指引》将企业风险定义为“未来的不确定性对企业实现其经营目标的影响”，并以能否为企业带来盈利等机会为标志，将风险分为纯粹风险（只有“带来损失”一种可能性）和机会风险（“带来损失”和“盈利”的可能性并存），认为风险是未来的不确定性对企业实现其经营目标的影响。
（1）企业风险与企业战略相关。企业风险是影响企业实现战略目标的各种因素和事项，公司经营中战略目标不同，企业面临的风险也就不同。（2）风险是一系列可能发生的结果，而不能简单地理解为最有可能的结果。由于风险的可能结果不是单一的，而是一系列的，所以理解和评估风险时，“范围”这个概念对应了众多的不确定性。
（3）风险既具有客观性，又具有主观性。风险是事件本身的不确定性，是在一定具体情况下的风险，可以由人的主观判断来选择不同的风险。
（4）风险往往与机遇并存。大多数人只关注风险不利的一面，如风险带来的竞争失败、经营中断、法律诉讼、商业欺诈、无益开支、资产损失、决策失误等，因而害怕风险，但风险不一定是坏事，在许多情况下，风险孕育着机会，有风险是机会存在的基础，必须学会把握风险可能带来的机遇。