Firma, która wytropi już wszystkie ryzyka, musi określić, które z nich są najważniejsze. Wprzeciętnie dużej firmie istnieje około 100 grup czynników ryzyka do wstępnego rozważenia. Nie można zajmować się wszystkimi z taką samą intensywnością. W podjęciu decyzji, które z nich są najpoważniejsze, pomocne jest określenie prawdopodobieństwa wystąpienia tego ryzyka oraz maksymalnego negatywnego skutku, jaki może ono spowodować.

Sprawne zarządzanie ryzykiem w firmie, zwłaszcza w dużej korporacji, nie jest możliwe bez stworzenia systemu i potraktowania zarządzania ryzykiem jako jednej z funkcji biznesowych. Dobre funkcjonowanie takiego systemu zależy w istotnej mierze od kompetencji i umocowania risk managera, czyli osoby odpowiedzialnej za zarządzanie ryzykiem w firmie. Ideałem jest sytuacja,w której risk manager odpowiada bezpośrednio przed dyrektorem zarządzającym, dość powszechne jest również umocowanie go bezpośrednio przy dyrektorze finansowym. Po tragedii WTC 11/09 risk managerowie na świecie zaczęli gwałtownie „awansować”, przemieszczając się w hierarchii korporacyjnej znacznie bliżej zarządów.

Firma, która zna już zagrożenia i wie, które z nich są najważniejsze, może przygotować właściwą strategię reagowania. Punktem wyjścia w przygotowywaniu tej strategii może być opisana wcześniej mapa. Te ryzyka, które mogą być dla spółki niezwykle groźne w skutkach i których prawdopodobieństwo wystąpienia jest duże, wymagają bezzwłocznego i aktywnego działania, zmierzającego do jednoczesnego zmniejszenia możliwych konsekwencji oraz prawdopodobieństwa zdarzenia. W skrajnym przypadku powinno się wręcz rozważyć zaniechanie tej części działalności firmy, która łączy się z takimi zagrożeniami. Mniej prawdopodobne ryzyka nie są tak pilne; wymagają one zabiegów niwelujących ich skutki oraz budowania planów awaryjnych. Ryzyka, które często się realizują, ale ich skutki nie są bardzo dotkliwe, to z kolei „siły tarcia” występujące w każdym przedsiębiorstwie – niedoskonałości procesów, organizacji, kultury zarządzania. Wymagają one długofalowego, systemowego podejścia porządkującego codzienną pracę firmy. Te zagrożenia, których prawdopodobieństwo zaistnienia jest niewielkie, a skutki niezbyt dotkliwe, możemy tolerować.

Najbardziej rzetelnie przygotowane i ambitne plany dotyczące zarządzania ryzykiem w korporacjach mogą ugrzęznąć na etapie ich wprowadzania, wprowadzone zaś mogą stać się kolejnym martwym garbem biurokratycznym, bądź też mogą być realizowane wycinkowo, bez wizji.