董事会不直接负责风险管理，风险管理由管理层负责。但是董事会需要确认管理层有效地、主动积极地、持续不断地履行了此种责任。但是，已在这方面建立规范化过程的公司是凤毛麟角。许多风险是临时发现的，但经常发现得很及时。这种临时确认风险的方法是不够的，因为发现重大风险时常常已为时过晚，而且结果是灾难性的。比如，相信其公司正在采取简单的套利方式来防范主要汇率或其他利率波动的董事会一直没有意识到还有巨额的资金没有得到任何风险防范，等到他们醒悟过来时，一切都已晚了。董事会不知道公司的销售做法有误，不知道新兴竞争对手生产的新产品就要瓜分市场份额，更不知道公司已痛失新的大有利润可赚的渠道和市场机遇。董事会的主要责任：首先，确保公司已建立有效的过程来确认风险，根据一系列的假设来衡量其潜在影响力、并开展必要的积极管理工作。其次，董事会应确知最重大的风险是什么，并决定分别采取什么措施。事实上，董事会更为重视第二种责任。董事们经常向管理层询问关键风险，并经常讨论计划或已采取的措施。然而，如果董事们对公司揭示风险的能力没有信心，他们不可能保证所有的关键风险都得到了讨论。只有部分董事关注管理层事先发现风险和处理重大风险的程序。风险管理过程的概念很简单，但落实起来又是另一回事。要特别注意在管理人员之间就一目了然的事项达成一致意见，例如业务部门的目标和各位经理所管辖的具体程序。要取得期望的效果需要应用多种方法，在许多时候需要举办协调讨论会，将关键人物聚集在一起，以获得必要的赞同参与，使风险管理过程付诸实施。最终目的是在公司每个业务部门、每个层次建立风险结构或风险框架。即，董事会需要确信管理层不仅已确定并管理现有的风险（类似于在某一时间点上拍快照），而且已建立有效的随时发现新风险的过程。此框架不一定也不应该是凌驾在现有管理程序之上的单独的过程。相反，它应该与管理层运营公司的方式结合在一起，充实管理过程并使之以风险为重心。在整个企业范围内建立起来的、行之有效的风险管理架构能确保风险得到恰当的管理，资产得到护卫，商誉得到保护，股东价值得到提高。