Das RMS besteht aus einem strategischen Rahmen, der durch die Risikokultur, die Risikostrategie, die Risikoziele und die risikopolitischen Grundsätze gebildet wird, der Organisation des Risikomanagements, dem operativen RM-Prozess mit den Phasen Risikoidentifikation, -bewertung, -berichterstattung, -steuerung und -überwachung, der IT-Unterstützung und der Dokumentation des Risikomanagements. Der strategische Rahmen bestimmt die Umsetzung des operativen RM-Prozesses und damit die Organisation des Risikomanagements. Die anderen beiden Elemente haben eher unterstützende Funktion.
