企業(yè)和IT管理者拋棄“狹隘的，分散的（‘豎井’式）方法進(jìn)行風(fēng)險(xiǎn)評(píng)估和管理總體風(fēng)險(xiǎn)框架，這有利于引導(dǎo)整個(gè)企業(yè)并確保各級(jí)工作人員清楚地理解他們自己與風(fēng)險(xiǎn)有關(guān)的責(zé)任。

Gartner公司在其報(bào)告“為企業(yè)和IT風(fēng)險(xiǎn)管理者設(shè)計(jì)的風(fēng)險(xiǎn)體系”中，建議企業(yè)和IT管理者拋棄“狹隘的，分散的（‘豎井’式）方法進(jìn)行風(fēng)險(xiǎn)評(píng)估和管理總體風(fēng)險(xiǎn)框架，這有利于引導(dǎo)整個(gè)企業(yè)并確保各級(jí)工作人員清楚地理解他們自己與風(fēng)險(xiǎn)有關(guān)的責(zé)任。

當(dāng)然，說起來容易做起來難。

正如SearchCompliance.com公司在“堅(jiān)持遵從風(fēng)險(xiǎn)管理使警鐘敲響”中論述的，許多企業(yè)的業(yè)務(wù)領(lǐng)導(dǎo)人和IT領(lǐng)導(dǎo)人現(xiàn)在意識(shí)到了必須采取一種整體性的，自上而下的風(fēng)險(xiǎn)管理方法。然而，大部分ERM（Enterprise risk management，企業(yè)風(fēng)險(xiǎn)管理）部署仍處于空談或者紙面階段，沒有實(shí)際行動(dòng)。在本文中，我們將會(huì)從實(shí)際出發(fā)深入研究ERM的本質(zhì)，討論面臨的挑戰(zhàn)和潛在的回報(bào)率，提供有實(shí)際作用的一些最佳實(shí)踐。

Southernco公司是一個(gè)很好的例子，我們可以從它談起。該公司實(shí)行企業(yè)風(fēng)險(xiǎn)管理已有大約五年時(shí)間了。作為一家大型的,由投資者控股的電力公司，“維護(hù)低風(fēng)險(xiǎn)預(yù)測(cè)與該公司整體策略是密不可分的”，這既為客戶服務(wù)，又使監(jiān)管機(jī)構(gòu)和投資者滿意。這是Todd Perkins說的。他是該公司的企業(yè)風(fēng)險(xiǎn)管理總裁。

Southernco公司在四個(gè)國(guó)家的經(jīng)營(yíng)區(qū)經(jīng)常受到像卡特里娜這樣的嚴(yán)重颶風(fēng)襲擊，這一點(diǎn)使他們需要付出更多。“我們的風(fēng)暴恢復(fù)流程已經(jīng)實(shí)施了幾十年，這方面非常先進(jìn)”，Perkins表示，“我們的企業(yè)風(fēng)險(xiǎn)管理程序確實(shí)是由于把這一風(fēng)險(xiǎn)管理的制度帶到公司其他地區(qū)帶來的成果。”

在被要求描述什么樣的“風(fēng)暴復(fù)原”方法被應(yīng)用到了Southernco公司企業(yè)風(fēng)險(xiǎn)管理策略時(shí)，Perkins回答道：“主要是關(guān)于在正確的位置實(shí)施正確的結(jié)構(gòu)，確保責(zé)任明確節(jié)點(diǎn)，每一個(gè)人都知道誰(shuí)擁有風(fēng)險(xiǎn)。”

盡管Perkins不能提供投資回報(bào)率的準(zhǔn)確數(shù)字，但他證實(shí)在風(fēng)險(xiǎn)變得嚴(yán)重之前，提前準(zhǔn)確識(shí)別和定位運(yùn)營(yíng)風(fēng)險(xiǎn)在企業(yè)風(fēng)險(xiǎn)管理中起著非常重要的作用。例如：在颶風(fēng)卡特里娜肆虐期間，Southernco公司能有效地減輕系統(tǒng)被破壞的影響，是因?yàn)樗麄?ldquo;對(duì)哪些系統(tǒng)需要先還原，和我們的商業(yè)優(yōu)先級(jí)是什么樣的都非常清楚”，他解釋到。

此外，Perkins還表示，“經(jīng)歷了企業(yè)風(fēng)險(xiǎn)管理過程，使我們明確了高級(jí)管理層應(yīng)該關(guān)注的更廣泛的戰(zhàn)略問題和財(cái)務(wù)問題”。

實(shí)際上，Southernco公司還把它們的企業(yè)風(fēng)險(xiǎn)管理策略用作市場(chǎng)工具，他們把他們的風(fēng)險(xiǎn)管理策略展示給投資者，監(jiān)管方和大客戶，以此來證明“我們是非常安全可靠的，我們有一個(gè)非常低的風(fēng)險(xiǎn)評(píng)估預(yù)測(cè)”，他說。

整個(gè)一年中，Southernco公司子公司和職能部門的所有管理者們都明確了他們領(lǐng)域中的風(fēng)險(xiǎn)，并且對(duì)能做量化的高級(jí)別風(fēng)險(xiǎn)做了量化分析。然后該信息被反饋到了企業(yè)風(fēng)險(xiǎn)管理組，該企業(yè)風(fēng)險(xiǎn)管理組包括來自IT部門，財(cái)務(wù)部門和各業(yè)務(wù)單元的高級(jí)管理層。Perkins說，該風(fēng)險(xiǎn)管理組“從根源上”對(duì)數(shù)據(jù)進(jìn)行了分析并按優(yōu)先級(jí)排序，最終得出了“一整套公司風(fēng)險(xiǎn)預(yù)測(cè)”，該風(fēng)險(xiǎn)預(yù)測(cè)結(jié)果被商業(yè)領(lǐng)導(dǎo)者，董事會(huì)用來作為監(jiān)督和治理的依據(jù)。

Michael Keating是Navigant咨詢公司業(yè)務(wù)連續(xù)性管理的一位總裁，按照他的說法，跨不同集團(tuán)的關(guān)聯(lián)性對(duì)于企業(yè)風(fēng)險(xiǎn)管理策略的成功至關(guān)重要。例如：在評(píng)估某一特定系統(tǒng)宕機(jī)造成的影響時(shí)，財(cái)務(wù)管理者會(huì)關(guān)注于損失掉的利潤(rùn)；審計(jì)人員關(guān)注于公開暴露的信息；業(yè)務(wù)管理者關(guān)注于損失的生產(chǎn)力。每一個(gè)風(fēng)險(xiǎn)級(jí)別各自分別被評(píng)估為中等，但是“把這些風(fēng)險(xiǎn)放到一起來，風(fēng)險(xiǎn)級(jí)別就更高了”，Keating指出。

企業(yè)風(fēng)險(xiǎn)管理措施條款

在制定企業(yè)風(fēng)險(xiǎn)管理策略時(shí)，業(yè)務(wù)領(lǐng)導(dǎo)者和IT領(lǐng)導(dǎo)者必須拿出一個(gè)三到五年的計(jì)劃，計(jì)劃中要列出“你想達(dá)成什么目標(biāo)，在達(dá)成目標(biāo)的過程中會(huì)遇到什么樣的阻礙”，Keating說。接下來，你應(yīng)該對(duì)那些“阻礙點(diǎn)”按照它們是否是技術(shù)風(fēng)險(xiǎn)，市場(chǎng)相關(guān)風(fēng)險(xiǎn)和財(cái)務(wù)風(fēng)險(xiǎn)進(jìn)行分組。“在很多情況下，把這些項(xiàng)作為一組放到一類里面，你可以獲得附帶的好處”——節(jié)省資金，他補(bǔ)充到。

只確定問責(zé)制是不夠的：你必須把它落實(shí)。“我有個(gè)客戶，他規(guī)定了數(shù)據(jù)保留和業(yè)務(wù)連續(xù)性的制度，但人們都不理會(huì)這些制度”，