Zunächst ist durch eine Kontextdefinition zu definieren, welche kontextabhängigen Risikokategorien zu beachten sind. Mit der Risikoidentifikation sollen mögliche Risikoquellen, die äußeren Umstände und ihre potenziellen Konsequenzen ermittelt werden. Des Weiteren ist eine Risikoliste zu generieren, an der die weiterführenden Schritte angelehnt sind, wobei jedoch zu beachten ist, dass eingangs nicht ermittelte Risiken in den nachfolgenden Schritten nicht behandelt werden [Ker09c; KeSc12, S. 293]. Die Risikoanalyse stellt die Basis dar, auf der identifizierte Risiken bewertet werden. Zudem trägt sie maßgeblich zu der Entscheidung bei, wie mit bestimmten Risiken umgegangen werden sollte und welche Risikosteuerungsstrategien Anwendung finden sollten [ISO18, S. 20]. Basierend auf den Ergebnissen der Risikoanalyse sorgt die Risikobewertung für eine Entscheidung, welche Risiken tatsächlich bearbeitet werden und welche Bearbeitungspriorität diese erhalten. Sie hat somit eine entscheidungsunterstützende Wirkung. Ebenfalls gibt sie eine Auswahl einer oder mehrerer Optionen zur Beeinflussung des Risikos vor und thematisiert die Implementierung dieser Optionen [ISO18, S. 21]. Bei der Risikokontrolle beziehungsweise Risikobewältigung steht das Analysieren und Lernen aus Ereignissen, Veränderungen und Trends im Vordergrund. Es werden Veränderungen erfasst, die intern oder extern auftreten und ein bestimmtes Risiko beeinflussen können. Zudem wird in diesem Schritt die Effektivität in Aufbau und Ablauf der Kontrolle und Steuerung sichergestellt [Ker09c;ISO18, S. 20f.].
Zur Unterstützung der einzelnen Schritte des Risikomanagementprozesses existiert eine Vielzahl an Werkzeugen und Methoden. Als wichtiges strategisches Werkzeug im Supply Chain Risikomanagement hat sich die Szenarioanalyse herauskristallisiert. Hierbei werden drei verschiedene Szenarien angenommen und ihre möglichen Ursachen identifiziert. Ein Szenario ist der "best case", es spiegelt die bestmögliche Entwicklung einer Unternehmung wider. Im Szenario "trend" wird angenommen, dass sich die Unternehmung genauso entwickelt wie zuvor. Es basiert also auf Vergangenheitsdaten. Das dritte Szenario ist der "worst case", der den negativsten Fall darstellen soll, den die Unternehmung erfahren kann. In diesem Zusammenhang werden vor allem die Risiken betrachtet, die zu diesem Fall führen könnten [Dorn14]. Zur Veranschaulichung bezüglich der Risikobewertung wird die Risk Map herangezogen (s. Abb.2) [SoTa12, S. 35]. Dabei erfolgt eine Einordnung abhängig von zwei Faktoren - der Wahrscheinlichkeit des Auftretens des Risikos und dessen Auswirkungsgrad. Je weiter das spezifische Risiko dabei in den dunklen Bereich rückt, desto eher sollte das Unternehmen über Reduzierungsmaßnahmen nachdenken. Die Szenarioanalyse wurde auch im Bericht des Weltklimarates verwendet um die Folgen des Klimawandels einzuordnen [IPCC22].