一些风险来自企业外部事件，企业无法影响和控制，例如自然灾害、政治动荡、宏观经济变动。外部风险也不适用基于规则的风险管理，因为企业不能预防这样的风险发生。管理此类风险应该侧重于识别、评估风险，并做出风险应对预案。

一、外部风险来源
　　有几种不同的外部风险来源：
　　自然灾难和经济危机一旦发生，后果非常严重而且直接。它们通常可以预测，尽管它们的确切发生时间经常不可预测。
　　地缘政治和环境变化对公司的影响是长期的，包括政策变动、政变等政治变化，全球变暖等长期环境变化，关键性自然资源耗竭。
　　竞争性风险对公司的影响是中期的，包括破坏性技术创新和产业领导者的激进战略举措。

二、风险分析
　　企业可以对每一类外部风险采取不同的分析方式。
　　尾部风险压力测试，可以帮助企业评估那些发生时间不能确切预测但对企业影响重大且直接的风险。金融服务公司采用压力测试来评估一旦原油价格上涨三倍会对公司的交易仓位和投资有什么影响。压力测试严重依赖于对关键变量变动的假设，而这种假设本身经常是存在偏见的。2007－2008年很多银行的尾部风险压力测试假设的最坏情况是美国房价在一段时间内趋于平稳，很少有企业想到测试一旦房价下跌会发生什么。很多公司以美国最近的房价作为推测基础，而美国房价已经几十年没怎么下跌，结果得出了过于乐观的市场预测。
　　情景规划适用于长期分析，特别是5到10年。公司先设想几种未来可能发生的情形，再去想象会有哪些出人意料的事发生。这种分析方法可以开展充分客观的讨论，使得战略更具弹性。规划者审查政治、经济、技术、社会、监管、环境等动力因素并从中挑选一定数量的对公司影响最大的因素。对每一个挑选出来的动力因素，要估计5到10年内的最大、最小值。
　　作战模拟可以评估一个企业在破坏性的技术创新或者竞争对手的战略改变时的承受力。企业设置3到4支任务团队，设想现有或者潜在竞争对手近期的合理战略行动，这个时间范围要比情境规划短。然后，所有团队一起讨论聪明的竞争对手会怎样攻击公司的战略。这个过程帮助克服领导者忽视与自己的信念相反的数据的倾向，并且将竞争对手可能的博弈行为引入公司战略。

三、风险防范措施
　　企业可以采取以下行动来防备外部风险。首先，因为在不可预防风险中不存在道德风险，企业可以采用保险和套期保值来降低风险。其次，企业可以进行先期投资以避免风险发生时付出更大的代价。例如，如果在地震多发地区有工厂，企业可以增加建设投资以便在地震发生时保护工厂设备安全。最后，面临不同但类似风险的企业可以携手合作，共同应对风险。例如，北卡罗莱那大学的IT中心易受飓风威胁，而加州圣安地列斯断层上的大学则易发地震，飓风和地震在同一天发生的可能性低到可以忽略不计，因此两地大学可以通过设置互相支援的机制来保证IT数据中心的稳定。