Os riscos a que estão sujeitas as organizações podem ter origem interna ou externa. A aprovação de nova lei ou decreto, por exemplo, é considerado fator externo de risco e pode implicar alteração em políticas operacionais e estratégicas de determinada organização.