Ein RMS kann entweder top-down oder bottom-up implementiert werden. Bei der Top-down-Implementierung wird ein Konzept für ein RMS unabhängig von der konkreten Risikosituation eines Unternehmens entwickelt und implementiert. Bei der Bottom-up-Vorgehensweise werden zunächst alle Risiken eines Unternehmens identifiziert, analysiert und bewertet. Auf der Grundlage der Risikosituation wird dann ein Konzept für ein RMS entwickelt und anschließend implementiert.