人们在面对风险时总是处于一个非常尴尬的两难境地：我们需要通过历史去推测未来，通过进程去判断结果，这中间隐含着大量的随机因素和主观臆断，但另一方面，谁也不愿意最终证实那个自己主观推断的结局。就像你天天警告孩子吃饭不洗手就会得病，但是又绝不愿意亲眼看到那个验证你警告的真理。也就是说，在和风险的博弈中，我们总是在捕捉一个自己都不愿意抓住的影子，在部署一场自己都不愿意打A的战争，而其中最大的成就就是“白忙”，最大的胜利就是“失算”。
风险就像一个飘忽无常的恐怖主义分子，它常常在我们意想不到的地方冒出来，可是当你严阵以待的时候他又没了踪影。我们没有必要因此而抱怨风险的不规律性，要是它真按常理出牌就不再是风险了。正如6月下雪是风险，而12月下雪就不是风险。对付不按常理出牌的风险，我们需要是保持平常心态，战略上以不变应万变，战术上以万变应不变。
投资项目的风险防范，战略上需要坚持以下四项基本原则。
（1）风险的信息系统常备不懈。
在风险没有发生时，大部分风险预防机制，如库存储备、不可预见费、危机领导小组等，都可以处于休眠状态。就像那个静静地盛立在墙角的灭火器一样，没有火灾时谁也不会注意它的存在。可是只有一个风险防范机制永远不能休息，就是信息系统。一个企业也许没有必要专门成立一个风险信息系统，日常管理的信息系统足可以兼任风险信息的收集和处理任务，就像一个普通的雷达，既可以搜索自己的飞机也可以搜索敌机，只是它一刻也不能休息。信息系统一旦出了问题，将会对整个投资项目带来灾难性的后果。一个信息系统最容易出现的故障是报喜不报忧，下层管理人员往往会倾向于把问题捂在盖子里自己解决，问题一直会积累到捂不住了才会上报最高决策层，而这时风险往往已从皮毛疥癣酿成了无法挽回的弥天大祸。因此，保持信息系统的正常状态，是控制风险的头等大事。
（2）风险防范的制度不可或缺。
这里所说的制度并非特指专门针对风险防范设置的制度，其实就是指企业常规制度。企业的规章制度不是用来创造奇迹的，其功能就是用来防范风险和错误的。例如审计制度是用来防范财务风险，盘点制度用来防范库存风险，技术保密制度用来防范技术泄密风险，质量管理制度用来防范废品风险，等等，这些企业常规制度犹如一道防洪大堤，基本上可以防范90%以上的常见风险了。因此，无论洪水是否来临，防洪大堤都要事先修好。
（3）风险防范的预案不可忽视。
这里所说的风险预案，并非一定指那些极端情况下的应急措施。世上不是什么事情都需要写遗嘱，其实任何一个普通的备选方案都可以视为风险预案。我们常说条条大路通罗马，最终我们选中的其中一条道路就是计划路线，可是万一这条路赶上堵车，改行其他道路就成了解决问题的风险预案。因此，我们在项目论证的时候不能把所有的赌注都押在单一的方案上，必须要制定备选方案，至少有个上中下三策。我们最后选中的方案就成为计划，而没有被选中的方案就是风险预案。一般情况下，备选方案之间的利弊结构反差越大，防范风险的功能越强。
（4）消极的反面意见不受歧视。
企业和机构中难免会有些被称为“乌鸦嘴”的人，他们在项目论证或者头脑风暴会议上总是扮演着泼冷水的角色，看问题总是悲观消极。一般而言，这种“乌鸦嘴”在任何一个组织中总是不受欢迎的人，因为他们的观点被认为不吉利，不能给团队带来振奋向上的士气。但是这类角色有一个重要的功能常常被人忽视，他们是识别风险的警报器。尽管在一个团队中永远不能让“乌鸦嘴”的声音成为主旋律，但是也绝不能让他们的观点受到歧视。一旦这类人的嘴巴闭上了，风险也许就离我们不远了。
投资项目的风险控制，战术上也要坚持四项基本原则。
尽早识别项目的各种风险，这是投资项目决策阶段的风险控制原则。尽管完全识别风险很难，我们只能强调尽早识别，风险被认识得越早，就越能掌握应对的主动权。
尽力避免风险事件的发生，这是投资项目计划阶段的风险控制原则。完全避免风险发生很难，因此我们强调竭尽全力。敌人何时进攻也许我们管不着，我们能尽力是建好预防工事。哪怕风险不来，自己也要严阵以待，举轻若重。
尽量降低风险造成的损害，这是投资项目操作阶段的风险控制原则。既然风险已经发生，完全避免损失已不可能，我们只能强调尽量，即最大限度地减少风险的危害性。
尽责总结风险带来的教训，这是投资项目收尾阶段的风险控制目标。人类最容易犯的错误是好了疮疤忘了疼，因此我们强调尽责，把风险的教训形成文档。这不但是对组织机构负责，以免在同一块石头上绊倒第二次；同时也是对历史负责，把教训留给子孙后代，提高全行业和整个社会应付各种风险的能力。
上述风险控制原则又被称为“四尽原则”，由于风险控制的结果难以量化和验证，所以我们只能强调主观因素：尽早、尽力、尽量、尽责。如果我们尽到最大的努力，仍然逃不过风险的打击，那只能说是运气不好了，毕竟谋事在人，成事在天。
