Un risque est un événement incertain qui, s'il se produit, a un impact sur le projet. Gérer les risques suit trois étapes :

1. Identifier les risques possibles, le plus tôt possible dans le projet.
2. Évaluer chaque risque en croisant deux critères : sa probabilité de survenir et son impact s'il survient.
3. Préparer une réponse, parmi quatre stratégies possibles :
   • éviter : changer le plan pour supprimer le risque,
   • réduire : agir pour diminuer sa probabilité ou son impact,
   • transférer : confier le risque à un tiers (assurance, sous-traitant),
   • accepter : ne rien faire de particulier, tout en surveillant le risque, quand il est jugé mineur.

Un risque non identifié à l'avance devient une surprise gérée dans l'urgence, souvent avec un impact plus lourd que s'il avait été anticipé.