企業和IT管理者拋棄“狹隘的，分散的（‘豎井’式）方法進行風險評估和管理總體風險框架，這有利于引導整個企業并確保各級工作人員清楚地理解他們自己與風險有關的責任。

Gartner公司在其報告“為企業和IT風險管理者設計的風險體系”中，建議企業和IT管理者拋棄“狹隘的，分散的（‘豎井’式）方法進行風險評估和管理總體風險框架，這有利于引導整個企業并確保各級工作人員清楚地理解他們自己與風險有關的責任。

當然，說起來容易做起來難。

正如SearchCompliance.com公司在“堅持遵從風險管理使警鐘敲響”中論述的，許多企業的業務領導人和IT領導人現在意識到了必須采取一種整體性的，自上而下的風險管理方法。然而，大部分ERM（Enterprise risk management，企業風險管理）部署仍處于空談或者紙面階段，沒有實際行動。在本文中，我們將會從實際出發深入研究ERM的本質，討論面臨的挑戰和潛在的回報率，提供有實際作用的一些最佳實踐。

Southernco公司是一個很好的例子，我們可以從它談起。該公司實行企業風險管理已有大約五年時間了。作為一家大型的,由投資者控股的電力公司，“維護低風險預測與該公司整體策略是密不可分的”，這既為客戶服務，又使監管機構和投資者滿意。這是Todd Perkins說的。他是該公司的企業風險管理總裁。

Southernco公司在四個國家的經營區經常受到像卡特里娜這樣的嚴重颶風襲擊，這一點使他們需要付出更多。“我們的風暴恢復流程已經實施了幾十年，這方面非常先進”，Perkins表示，“我們的企業風險管理程序確實是由于把這一風險管理的制度帶到公司其他地區帶來的成果。”

在被要求描述什么樣的“風暴復原”方法被應用到了Southernco公司企業風險管理策略時，Perkins回答道：“主要是關于在正確的位置實施正確的結構，確保責任明確節點，每一個人都知道誰擁有風險。”

盡管Perkins不能提供投資回報率的準確數字，但他證實在風險變得嚴重之前，提前準確識別和定位運營風險在企業風險管理中起著非常重要的作用。例如：在颶風卡特里娜肆虐期間，Southernco公司能有效地減輕系統被破壞的影響，是因為他們“對哪些系統需要先還原，和我們的商業優先級是什么樣的都非常清楚”，他解釋到。

此外，Perkins還表示，“經歷了企業風險管理過程，使我們明確了高級管理層應該關注的更廣泛的戰略問題和財務問題”。

實際上，Southernco公司還把它們的企業風險管理策略用作市場工具，他們把他們的風險管理策略展示給投資者，監管方和大客戶，以此來證明“我們是非常安全可靠的，我們有一個非常低的風險評估預測”，他說。

整個一年中，Southernco公司子公司和職能部門的所有管理者們都明確了他們領域中的風險，并且對能做量化的高級別風險做了量化分析。然后該信息被反饋到了企業風險管理組，該企業風險管理組包括來自IT部門，財務部門和各業務單元的高級管理層。Perkins說，該風險管理組“從根源上”對數據進行了分析并按優先級排序，最終得出了“一整套公司風險預測”，該風險預測結果被商業領導者，董事會用來作為監督和治理的依據。

Michael Keating是Navigant咨詢公司業務連續性管理的一位總裁，按照他的說法，跨不同集團的關聯性對于企業風險管理策略的成功至關重要。例如：在評估某一特定系統宕機造成的影響時，財務管理者會關注于損失掉的利潤；審計人員關注于公開暴露的信息；業務管理者關注于損失的生產力。每一個風險級別各自分別被評估為中等，但是“把這些風險放到一起來，風險級別就更高了”，Keating指出。

企業風險管理措施條款

在制定企業風險管理策略時，業務領導者和IT領導者必須拿出一個三到五年的計劃，計劃中要列出“你想達成什么目標，在達成目標的過程中會遇到什么樣的阻礙”，Keating說。接下來，你應該對那些“阻礙點”按照它們是否是技術風險，市場相關風險和財務風險進行分組。“在很多情況下，把這些項作為一組放到一類里面，你可以獲得附帶的好處”——節省資金，他補充到。

只確定問責制是不夠的：你必須把它落實。“我有個客戶，他規定了數據保留和業務連續性的制度，但人們都不理會這些制度”，