為了遵守SOX法案，企業(yè)被要求把重心轉向改善公司整體的風險管理

申請免費試用、咨詢電話：400-8352-114

 　　為了遵守SOX法案，企業(yè)被要求把重心轉向改善公司整體的風險管理

　　監(jiān)管機構正在向董事會施壓，希望他們更多地進行風險監(jiān)督，文件管理系統(tǒng)因此在企業(yè)內部自上而下，都需要提高對于總體風險承擔的理解，以及風險對于戰(zhàn)略目標所形成的威脅，Caldwell說。這意味著，CIO和IT風險管理者越來越多地被要求精確地描述IT和業(yè)務風險之間的關聯(lián)。

　　Gartner公司最近的一項風險管理調查顯示，

　　約有43%的受訪者聲稱IT部門提供的風險管理數(shù)據的確會影響董事會的相關決策，Caldwell說。這聽上去似乎是個好消息，但它也同時意味著大多數(shù)受訪者并不認為IT信息可以影響董事會的決策。不僅如此，還有一些受訪者甚至質疑董事會是否能夠明白IT部門提供的數(shù)據。

　　為了增加積極影響的百分點， CIO們需要更好地讓董事會理解IT部門和業(yè)務部門之間的關聯(lián)，Caldwell說。首先， CIO們必須明白以下內容：在涉及企業(yè)風險管理上，董事會，CIO和其他IT主管們在企業(yè)內扮演什么角色? 而在向董事會匯報時， CIO應該如何將風險和業(yè)務目標相關聯(lián)，來更好的引起董事會的關注?Caldwell提出以下兩項指導原則來回答上述問題：

　　業(yè)務目標也是IT目標。本質上， IT部門和企業(yè)其他部門在一定程度上都享有相同的業(yè)務目標。

　　這使得每個人都在向這同一個目標而努力。

　　IT風險也是業(yè)務風險。如果業(yè)務部門和IT部門都有相同的目標，那任何IT風險也等同于業(yè)務風險。這有助于使雙方都共同關注業(yè)務成果。

　　從表面上來看，我們都認為董事會不應該管理風險，Caldwell說。 “董事會在風險管理中起的作用是確保有一個有效的風險管理計劃，而公司的管理層正在有效地進行執(zhí)行”， 他說。 “他們起一個監(jiān)督的作用。 ”

　　任何和董事會成員會面的監(jiān)管機構——在大型企業(yè)內發(fā)生的頻率正在逐漸提高，特別是金融服務行業(yè)——都會詢問相關問題，以搞清楚董事會是否真正參與到監(jiān)督風險管理計劃中。

　　“(董事會成員)認為一個有效的風險管理計劃意味著......他們不僅是拿到一個一年一次的，十大風險報告，而是希望有真正的風險指標來顯示管理層的確在監(jiān)督”，Caldwell說。這些指標還應該權衡管理層的風險偏好，這也正是風險管理計劃的意義所在。

　　從這一角度而言， CIO們需要了解可能阻止或妨礙企業(yè)實現(xiàn)其戰(zhàn)略目標的IT風險指標。這一區(qū)別是很重要的。不再是把

　　重點放在關注IT資產的風險， CIO們更應該關注在業(yè)務績效風險中起重要作用的技術。

　　“這并不意味著我們不再關心有關IT資產的風險，但我們會在向由董事會和高級管理層設立的業(yè)績目標努力的過程中，進

　　行相應的審視”，Caldwell說。 “企業(yè)績效考核才是我們向董事會進行匯報時需要呈現(xiàn)的。”

　　當進行陳述時，盡管花了很長時間進行準備， CIO們都應該牢記他們只有大約15分鐘的時間來得到認同 – 這也可

　　能是一年中唯一一次正式的機會。這一陳述不應該有任何驚喜或者全新的信息，Caldwell強調。首席風險官，首席財務官，首席執(zhí)行官和關鍵的董事會成員都應該事先知道CIO將會談論什么。