如今關于公司治理的領導思想基本上一致認為，董事會的重要職責之一就是理解公司戰略及相關風險，并保證管理層的風險管理措施是適宜的。戰略風險評估是評估公司所面臨的重大風險的系統而持續的過程。進行初步評估對于高管和董事會來說是一項極具價值的活動。
通常，戰略風險評估是由管理層依據董事的投入與驗證來執行的。在這個過程中，將風險評估與公司戰略和戰略執行程序直接聯系起來是非常重要的。評估的精確形式以及產生的戰略風險文件，取決于公司風險管理程序的成熟程度。
以下戰略評估七大步驟，反映了風險的動態性，構成了一個在公司內部持續不斷循環，或者是封閉循環的過程。同時也顯示出戰略風險評估師一個持續的過程，而并非一次性事件。在其執行過程中允許加以修改和定制，以適應公司的成熟程度和能力。
第一步：深刻理解公司戰略
理解公司戰略及其關鍵構成部分，重點是識別與核心戰略相關的具體的風險。這一步驟所需要的信息大部分可以在公司和業務部門的計劃、戰略總結以及管理層和董事會的資料中取得。在步驟的最后，董事會和管理層應該對公司戰略的關鍵構成元素以及它們與回報驅動戰略（RDS）框架的聯系有深入清晰的理解。
例如，公司戰略中涉及合作的部分的關鍵行為需要在評估中考慮并鑒別。這些合作包括合資企業、離岸外包、業務外包或者其他聯盟形式。一家公司可能有多種合作計劃 ，其中有些相對風險較低，例如經營餐廳，但是其他的，比如信息技術外包，也許承擔著很高的風險。據此，關鍵的問題在于哪個合作者、采用何種合作方式對于執行戰略來說是最為重要的，這些就是我們要努力去識別的。
第二步：收集戰略風險相關的觀點與數據
這一步驟的目的是從管理層和董事會處，收集與核心商業戰略相關的主要戰略風險的觀點和數據。做這一步有許多方法，例如行政訪談、調查以及焦點團隊反饋。進行這一步時，公司文化應予以考慮。有的公司對調查能夠很好地接受，而有的則不能。如果管理者分布很廣，個人面談可能難以實施，因而遠程會議或者電話訪問就成了不錯的選擇。包括業務部門領導的管理層的主要成員都應該被要求參與。獲得董事會成員，特別是審計委員會成員和公司的內部及外部審計人員的想法也是十分有用的。
在進行以上評估的過程中我們發現，比起簡單地問個人什么是戰略風險這樣的開放式問題，提供重點框架或者范圍會使得訪談更為有效。戰略風險管理（SRM）框架（見圖1）在這里非常有用。SRM的組成部分與RDS框架的原理相對應。討論與問題將從與步驟一中的戰略分類相聯系的SRM框架里有風險的部分中產生。
參與者也應當被鼓勵去識別他們認為會抑制公司完成戰略、實現商業目的能力的外部風險。這些外部風險包括系統風險、新興風險領域或如管制等其他外部風險。參與者也可對他們所識別出來的風險可能的嚴重程度或是影響力進行評級。
第三步：初步制訂戰略風險概要
利用前兩步中收集到的信息可以準備一份初步的戰略風險概要文件，該文件的格式和復雜程度應該依公司的風險管理成熟度和能力而定。由于這個信息的作用是激發執行層面和董事層面的討論與理解，過于細節或大量的數據可能會適得其反。
許多公司都發現圖形演示十分有助益，比如用色彩來表示不同層次風險的熱點地圖。還可以基本清單為起點，隨著風險管理程序的逐漸成熟，增加細節并提高復雜程度。
就潛在層面的問題或者與某個風險區域或類型相關的影響進行交流也是很有用的。傳統的方法是可能性和影響力分析。然而最近，那些高影響力及低可能性的風險引起人們很大關注， 例如那些因其極低的可能性而經常被輕視的系統性風險。為了應對這種風險，一些公司正在增添新的維度，例如風險來襲的速度或者公司對風險的防備。此外，戰略風險概要的細節和復雜程度應該反映公司風險管理程序的成熟程度。
第四步：驗證并最終確定文件
初步的戰略風險文件必須通過主要參與者的驗證，確保其反映了他們關于最重要的戰略風險的看法。哪些參與者涉及和驗證戰略風險文件的確切過程應取決于企業文化。有的公司公布初步文件以取得反饋，有的進行跟進訪談，還有的采取小組展示與討論的方式。這一驗證過程可以包括所有利益相關者或者只包括其中一部分。可能的風險文件報告格式也可以進行公布，從而獲取關于不同格式的觀點看法。但是需要記住的是，讓足夠的參與者來驗證這份文件以及突出風險，對于整個評估過程來說是極為重要的。
第五步：制定戰略風險管理行動計劃
戰略風險一經識別，高層管理者和董事就會很快詢問關于減輕和監控風險的計劃，因此我們建議公司將建立并實施初步行動計劃，當作評估的核心部分，而不是作為一個次要的獨立的行為。此外，將要采取的具體行動取決于公司風險管理實踐的成熟程度。
根據我們在德保羅大學戰略風險管理實驗室的工作以及多種研究顯示，許多公司正以漸進的步驟進行風險管理，而不是直接駛向理想的最終狀態。因此，公司可以利用戰略風險成熟度診斷（表1）和戰略風險管理路線指南（表2）作為工具，來讓這一步驟變得便易。具體的措施取決于公司的具體情況，通常包括以下措施：
減少識別出的部分風險的減災活動和策略；
決定風險是增是減的風險監管活動，包括平衡計分卡和戰略地圖等工具；
將戰略風險管理工具整合于戰略執行過程中定期更新戰略風險文件的程序；
各種形式的報告活動；
針對識別新的或正在出現的風險的程序。
這一步驟為提高整個公司內，不同風險和控制部門之間信息及風險的共享，創造了新的機會。這份行動計劃是整個公司所需要采取的措施，而非一個風險或控制部門。這種企業范圍的焦點是建立全公司風險管理文化的另一個步驟。
第六步：溝通戰略風險概況和戰略風險管理行動計劃
在評估的階段，公司應該有確定的戰略風險概況和初步行動來應對已識別的戰略風險。溝通并建立關于風險的共通認識，是戰略管理中被普遍認可的主要做法。事實上，“信息與溝通”是企業風險管理八大核心構成之一。
這一步驟要求管理層實現與全公司的深入交流，來表達公司關于其戰略風險的看法以及執行相關行動計劃的重要性。溝通必須上及董事，因為這是一個需要他們注意與互動的主題。
溝通過程為建立或加強公司風險文化創造了機會。公司重要風險的信息應該在整個公司內部分享。員工應該在公司風險活動、政策和總體指導等方面實現信息溝通。特別地，公司不同風險控制部門和業務部門之間，應該溝通并做到信息共享。需要強調的是，成功的交流是一項反復過程，并需要持續注意和加強。
第七步：實施戰略風險管理行動計劃
戰略風險評估程序的真正價值在于公司最后采取的行動。這些行動的目的是建立公司持續性戰略風險管理程序并“畫完這個圓”。如上所述，風險的動態性要求持續的過程來監控和管理。行動計劃應該能夠讓這種過程得以實施和加強。
公司應當考慮如何報告和更新行動狀態，包括向董事會報告。當其戰略風險管理程序持續不斷成熟，公司就應當考慮下一階段需增加的步驟，以提升其整個風險管理程序。
財務總監和管理團隊應幫助公司董事會和高管建立公司風險管理程序，這樣他們便能夠專注于戰略風險，并根據對風險的持續性評估來統一ERM和GRC措施。戰略風險評估能夠為戰略管理與治理奠定基礎，可以闡明并定義通往發展風險管理能力，即風險如何被評估、監控和管理的道路。
