过去，企业风险管理若仅涉及财务风险，判断其责任应归属于组织架构图中的哪个位置相对简单。如今的商业环境要复杂得多，监管机构也一直在推动董事会加强监督。
沃顿商学院会计学教授 Christopher Ittner 一直在研究这些变革的成效：它们是否真正影响了内部行为或企业盈利，还是企业只是流于形式？在本次接受Knowledge@Wharton采访时，Ittner探讨了应由谁监督风险、不应由谁监督，以及正确的选择能为企业带来什么。
以下为本次访谈经编辑的文字稿。
风险与业务：
根本问题在于，董事会对风险管理的监督究竟是否产生了任何作用。鉴于金融危机以及当前影响经济的诸多其他因素，风险管理受到了大力推动。因此，机构投资者、企业和监管机构一直在推动董事会加强风险管理监督。问题在于：这是切实的举措，还是仅仅做做样子？你是否看到企业只是因为这是各方所期待的，才引入这些机制？我们正在研究董事会如何进行风险监督是否真正产生了作用。它是否会影响企业的风险管理实践？归根结底，它是否带来回报？拥有更多董事会监督的企业，风险是否更低，股票回报是否更高？
要点总结：
其中一个重要问题是，董事会中由谁负责风险管理确实至关重要。目前，关于应由董事会整体负责，还是应设立委员会负责，存在诸多争议。是否应当由审计委员会这类委员会负责？是否应设立独立的风险管理委员会？各监管机构和团体对此持有不同立场。如果你是纽约证券交易所的成员，你的审计委员会须承担董事会风险监督职责。澳大利亚证券交易所则截然不同：它规定整个董事会应负责[风险]监督，而众多金融机构则须设立独立的风险委员会。因此，一个重大问题是：这一安排究竟是否真的重要？
结果表明，这一安排影响很大。与其将此职责委托给审计委员会或风险委员会，最好由整个董事会承担责任。另一个颇为有趣的发现是：即便设立了独立的风险委员会，在企业的风险管理实践和绩效方面，似乎也几乎没有产生任何整体影响。由此可见，在某些情况下，这确实可能流于形式。董事会引入此类安排、设立独立风险委员会，看似在表明“我们高度关注企业风险管理”，但事实上，与利用现有董事会结构相比，这样做似乎并没有太大差别。
异常随意：
我们发现的一个有趣现象是，董事会与高层管理人员之间关于风险管理的讨论大多非常非正式。人们可能认为，如今企业会在风险偏好等方面将此类讨论正式化。我们究竟愿意承担多大风险？因为风险管理的目的并非消除风险，而是在风险偏好和风险容忍度范围内开展工作：“我愿意承受多大的波动？”仅从调查回复中就能看出，受访者承认：“嗯，如果我们确实讨论这件事，也非常非正式。”考虑到当前的环境，我们对此颇感意外。人们可能会认为，董事会在厘清我们想要追求的风险偏好、接受多大的容忍度（即一旦完成这些工作，我们愿意接受多大的波动）方面会更加正式。但实际上，这一切都非常、非常非正式。
持续沟通是关键：
其中一个重要方面是：谁来负责？你必须在章程中规定由整个董事会承担责任。当然，你可以决定某些类型的风险交由不同的委员会处理。显然，财务风险通常[由]审计委员会处理。其他风险可以交由具备相关专业知识的其他委员会处理，但 董事会整体必须承担责任。这不是你能委托给 Twitter 的事项。
另一点是，你必须大幅改善董事会与高级管理层之间的沟通。我们发现，如果你仅在年度或季度董事会会议期间与高级管理层讨论风险实践，那将非常有害。你必须在董事会会议之外展开这些讨论，并持续审视我们的风险偏好是什么、风险容忍度是什么。
确定风险之后，下一步是什么？
我认为，此时你需要聘请风险专家。一旦确定了关键风险，你就需要在董事会中有一位相应的人员，而这也正是将其委托给委员会的问题所在之一。通常负责此事的审计委员会，其专业能力集中于财务风险：信用风险、市场风险，以及能否使用或不使用衍生工具。他们对网络安全几乎一无所知，而这正是当前推动力度最大的领域。
一旦董事会花时间厘清我们存在哪些问题（或许届时才需要在相关领域引入专业知识），你就不能指望现有董事会成员对这些事务了解太多。至少，让他们确定公司内部将聘请哪位风险专家，并加强相关沟通，即使董事会中并没有具备该专业能力的人员。
拓展董事会对‘风险’的理解：
我认为，一个重大问题在于，风险被视为审计委员会的职责，这完全取决于传统上风险被归于何处。我们一直将企业的风险视为财务风险。企业并非不考虑风险，但人们一直担忧的始终是财务风险和信用风险。我身处会计部门，我可以告诉你，财务和会计人员在财务风险之外的各类风险方面并不是专家。因此，依照纽约证券交易所的要求，由董事会审计委员会负责风险监督，实在不妥。尤其是随着我们面临的风险类型不断增加，或者说，即便过去也曾遇到这些风险，如今我们也应更加认识到它们的存在。“审计委员会应负责风险，因为他们一直负责风险”这一观念是不对的。他们一直处理的是 金融 风险。他们只是缺乏该范围之外的专业能力。
“自上而下”方法的价值：
人们通常关注的是，整体风险管理指数或评分与企业业绩波动、股价等因素之间是否存在某种关联。我们真正想探究的是：“那么，其中的作用机制是什么？”如果我是一名管理者，仅仅说“我应当加强风险管理”，实际上并无太大帮助。我真正想知道的是，我该如何组织企业？我们从董事会入手，原因在于一个基本理念：基调总是由高层确立。无需过多担心我个人如何开展具体的风险管理。首先要做的是让整个公司形成共识，而这必须从董事会开始。这与其他人的做法大不相同，但在你能够回答“我需要建立怎样的机制，以确保将风险管理作为企业的战略议题？”之前，一切都毫无意义。
激励与问责：
在美国和其他一些国家，法规确实要求进行董事会绩效评估。很少有人意识到这一点，但你理应对自己的董事会进行绩效评估。其中一部分内容是将风险管理实践及董事会监督责任纳入绩效评估……我们的研究结果确实表明，那些对董事会进行绩效评估、并将风险管理职责纳入评估的企业，其风险管理实践更为完善。因此，激励与问责依然是关键。不仅要关注企业内的管理人员，还要关注董事会，并使其激励机制与风险管理保持一致。
风险管理的真正受益者：
我们关注的一部分问题是：企业风险管理的目标是什么？这将如何影响你所采用的实践，其影响又是什么？思考风险管理的一种简单方式是，我们所做的一切只是为了规避风险，或在风险发生时至少将其缓解。这只关注了风险的负面影响。但如果你真正相信风险与回报之间存在权衡关系，那么提高回报的唯一途径是否就是承担更多风险？你同样可以利用风险管理来提升企业价值。应当承担恰当的风险。让我们弄清楚企业中存在哪些多重风险，它们如何相互作用，从而避免承担对其他方面产生重大影响的风险。
因此，当企业将风险管理视为提升价值的目标，而非仅仅是成本最小化或规避问题的手段时，这将如何影响你实际采用的实践，哪些实践更为有效？归根结底，这将如何影响企业绩效？我们的初步结果表明，其影响巨大。那些将此视为提升价值目标、而非仅仅是降低成本或规避负面影响的企业，才真正获得了实质性的财务收益；与仅仅将企业风险管理实践视为降低成本手段的企业相比，二者差异明显。
本文与 Knowledge@Wharton合作发表。刊载不代表世界经济论坛认同文中观点。
如需紧跟Agenda动态，请 订阅我们的每周通讯。
作者：Christopher Ittner是沃顿商学院的会计学教授。
图片：人们穿过东京市中心金融区一处灯光照明的地面。REUTERS/Thomas Peter
