國際風險標準及指南如ISO3100：2009，以雙向的概念定義風險，這包含了正面與負面風險的可能性，其對目標達成之影響可能是正向或是負向。我們用「機會」來描述一個有正向衝擊的正面風險、而用「威脅」描述一個有負向結果的負面風險。 雖然理論是明確的，但在實務上有許多組織、團隊、以及個人對於將機會納入風險流程中是有疑慮的。我們不太確定要如何辨識純粹的機會、如何評估或決定其優先度、有何種回應選項、或它該如何管理，但對於威脅卻似乎沒有這種困惑。如果我們相信風險管理可以且應該同時處理機會與威脅，那我們要如何將實務導引到理論的方向上呢？ 有效管理機會的訣竅在於要能理解一個機會等同於一個威脅，不要管它衝擊的方向。一旦我們能看懂這種相似性，處理威脅的方法即顯而易見。我們可以採用已經用來處理威脅的標準風險流程，並稍做修正以理解我們是在處理正面的風險後，運用在機會上。 然而、機會要如何等同於威脅呢？風險的定義為「有影響的不確定性」，這涵蓋了兩者。一個機會恰如威脅一般是不確定而不見得會發生，惟其一旦發生則會影響我們能否達成一項或多項目標，唯一不同處在於如果威脅發生了會造成負面影響，因為它會形成問題，但如果是一個機會發生了，則會有正向的產出，因為它會帶來效益。 在管理機會與威脅的流程上也是相似的。我們可以用能夠辨識威脅的技術來辨識機會，我們當然可以舉行一個腦力激盪會議創想正面的不確定性、或是根據過去好的經驗建立一個機會清單，然而我們也可以用追根究底分析或決策樹來發掘潛在的好事。而像是SWOT分析或力場分析法等風險辨識技術，本來就足以像發現威脅一樣發現機會。 當我們要進行風險評等時，機會與威脅的重要性都可以用機率（不確定性多高？）及衝擊（影響多大？）來評估，唯一的不同在於機會的衝擊是正向的而威脅的衝擊是負向的。然後我們就可以用標準的排序工具如機率－衝擊矩陣或是一張熱圖來找出最佳機會。我們也可用量化風險分析技術如蒙地卡羅模擬或敏感性分析等，建立機會對整體產出的總和正向影響模型，就跟我們建立威脅模型的方法完全一樣，此處的差異在於機會的衝擊是正向的，帶來時間或成本的節省、或增進效益與名聲等。 一旦發現了一些好的機會值得我們追求，我們便可以發展適當的風險回應方式，包括開拓最佳機會、以及其他增益可使得這些機會更具吸引力。我們也應該建立一個撤退計畫以便掌握可能自然發生的機會，就像威脅回應的目的在於移除或降低負面風險的負向影響一樣，機會回應是設計來掌握或改進正面風險的正向效果。 我們對負面風險（威脅）之所知，對正面風險（機會）而言顯然也是一樣的，一旦我們認知到正面風險與負面風險，除了衝擊的方向外其他都一樣後，則辨識、評估、以及回應機會就簡單多了－我們只需使用已知對威脅有效的相同方法即可。而如果我們主動管理機會我們將能把某些機會轉變成額外的利益，包括縮短時程、降低成本、或增加成效。這可以使得專案與事業更加成功，對任何人來說這都是個好消息。