Risiko muncul karena ketidakpastian yang dapat menghalangi pencapaian tujuan atau sasaran. Saat mencari pasangan hidup, misalnya, banyak ketidakpastian yang dihadapi. Tujuan tiap orang saat mencari pasangan hidup berbeda-beda sehingga risiko yang dihadapi pun berbeda antarindividu. Bila ingin memiliki keturunan, risiko yang dihadapi antara lain adalah kemandulan. Sebaliknya, bila tidak atau belum ingin memiliki keturunan, risiko yang dihadapi justru adalah kebablasan. Jadi, risiko tidak dapat dipisahkan dari tujuan kita.
Penyebab risiko bermacam-macam. Tidak ada suatu standar universal pembagian penyebab risiko. Salah satu pembagian penyebab risiko yang sering digunakan adalah pembagian penyebab risiko menjadi penyebab eksternal dan penyebab internal. Penyebab eksternal bersumber dari luar individu atau organisasi, sedangkan penyebab internal bersumber dari dalam. Penyebab eksternal umumnya lebih sulit dikendalikan daripada penyebab internal.
Baca juga : Pelatihan Manajemen Risiko Berdasarkan ISO 31000
Untuk suatu organisasi, penyebab risiko eksternal antara lain berasal dari faktor politik, ekonomi, sosial, dan teknologi. Dinamika politik dan perubahan regulasi merupakan contoh penyebab risiko dari faktor politik. Daya beli masyarakat dan nilai tukar mata uang merupakan contoh penyebab risiko dari faktor ekonomi. Perubahan demografi dan tren gaya hidup merupakan penyebab risiko dari faktor sosial. Inovasi teknologi dan keusangan aplikasi merupakan juga penyebab risiko dari faktor teknologi.
Penyebab risiko internal antara lain berasal dari manusia, proses, sarana, dan keuangan organisasi. Ketidakcukupan kompetensi merupakan contoh penyebab risiko dari faktor manusia. Ketidakjelasan proses bisnis merupakan penyebab risiko dari faktor proses. Ketidakmutakhiran sarana merupakan contoh penyebab risiko dari faktor sarana. Ketidakstabilan arus kas merupakan contoh penyebab risiko dari faktor keuangan.
Baca juga: Indikator Risiko: Awal atau Akhir?
Agar dapat menangani risiko dengan baik, suatu organisasi perlu mengidentifikasikan risiko dan penyebab risiko yang relevan untuk organisasi tersebut. Proses ini bukanlah suatu proses dapat dilakukan dengan sekali jadi. Organisasi perlu menerapkan pendekatan iteratif yang berkesinambungan untuk dapat melakukan proses identifikasi ini.