吉宁博士观点
风险分类的新方法
2007年，托尼·海沃德(Tony Hayward)出任英国石油公司（BP）CEO，当时他信誓旦旦地宣称要把公司的安全性放在首位，并据此制订了一系列新规则。例如：要求所有员工在端着咖啡杯走路时必须盖上杯子，开车时不准发短信，等等。
然而三年后，就在海沃德眼皮底下，发生了墨西哥湾“深水地平线”（Deepwater Horizn）钻油平台漏油事件，该事件是史上最严重的人为灾难之一。根据美国一家调查委员会的调查结果，该事件源于英国石油公司的管理失误，这些失误让“当事人无法及时发现风险，也无法正确地评估、沟通、处理风险”。
海沃德的故事反应出一个普遍问题，那就是：尽管一再重申其重要性，也为此花了不少钱，但很多公司的风险管理不过就是制定相应的规章制度，并确保所有员工都严格遵守这些规章制度，仅此而已。当然，这些规则本身是合理的，也确实能够减少风险，从而避免给公司带来严重危害。但是，基于规则的风险管理既不能降低灾难发生的可能性，也不能减少灾难造成的影响，比如，上文提到的墨西哥湾钻油平台漏油事件，再比如，这样的风险管理也没能阻止很多金融企业在2007-2008年的次贷危机中破产。
本文中，作者提出了风险分类的新方法，帮助公司高管们区分哪些风险可以通过制订规则进行管理，哪些风险必须采用其他方法来管理；此外，作者探讨了在开诚布公、建设性地讨论战略风险管理时，个人和公司面临哪些挑战；同时提出：公司应该把这些讨论融入战略制订及其实施过程中；最后得出结论：公司应该如何从战略及运营之外找出不可预防的外部风险，以及如何做好准备去应对这些风险。
风险管理：规则还是对话？
风险管理：规则还是对话？
构建有效的风险管理体系，首先要了解如何定性区分公司面临的各类风险。我们的现场研究表明，风险总共分为三类，任何一类对公司的战略甚至生存都至关重要。
第一类：可预防风险 这类风险出自于公司内部，是可控的，应该被消除或避免。其中包括：因为员工或管理者的未授权行为、非法行为、不道德行为、不正确行为或不当行为引起的风险，以及因日常工作程序出错引起的风险。当然，公司也应该适度容忍并不会对公司造成严重危害的那些缺陷或失误，毕竟，要彻底避免这些缺陷或失误，将代价不菲。但一般而言，公司还是应该尽力消除这类风险，因为这些风险不利于公司战略，比如：流氓交易员或贿赂当地官员，这些行为可能有益于公司的短期利益，但长期来看，这些行为肯定会严重损害公司价值。
管理这类风险的最好方法是积极预防：用预期的规范来监控实施过程，并指导员工行为和决定。由于已经有大量文献资料谈及基于制订规则及遵守规则的程式化合规做法，所以我们建议有兴趣的读者阅读边栏插文“如何发现及管理可预防风险”，在此我们就不赘述了。
第二类：战略风险 为了实现较高的战略收益，公司自然愿意接受一定程度的风险，例如：银行在发放贷款时必须承受信贷风险；很多公司在研发活动中也要承担一定的风险。
战略风险明显有别于可预防风险，因为就其本身而言，战略风险也有可取之处。战略的预期收益高，风险当然就高，而对这些风险的管理，则是实现风险潜在收益的关键推动因素。英国石油公司之所以甘冒风险到墨西哥湾海平线下几公里的地方采油，就是因为期望获得高价值的石油和天然气。
基于规则制订的控制模式不能用来管理战略风险。事实上，应该专门设计出一种风险管理体系，以减少预期风险成为现实的可能性，从而提高公司对这些风险事件的管理能力，让公司具备相应的风险承受能力。当然，这并不能让公司完全避免风险；但它让公司比竞争对手更具风险承受能力。
第三类：外部风险 这类风险源自公司外部，超出了公司本身的控制范围，包括：自然灾难、政治事件、宏观经济层面的重大变化。这类风险的管理方法完全不同，因为公司不能阻止这类风险，所以必须关注如何发现这类风险以及如何减轻其影响，因为很难对这类风险进行有效预测。
公司应该根据具体的风险类别来调整自己的风险管理流程，比如：程式化的合规做法能够有效管理可预防的风险，但完全不适用于管理战略风险或外部风险，因为管理这两类风险，要以公司内部开诚布公、清晰明确的讨论为基础。但是，这样的风险管理方法，知易行难；大量的研究表明，很多人都对风险持有偏见，倾向于事先不想、不谈，直到风险出现他们才被迫面对。
风险：不受欢迎的话题
风险：不受欢迎的话题
很多研究表明，如果过高估计自己的影响力，公司难免会在现实中陷于被动。原因在于，我们会对风险预测和风险评估的正确性过于自信，而对可能出现的后果预计不足。
此外，风险评估会局限于现有证据，尽管我们知道，根据近况去推测未来相当危险的，因为未来变化无常、毫不确定。但是我们更愿意相信那些对于支持成功的信息假设；而对于否定成功假设的信息，我们却倾向于排斥。这种证实偏见(Confirmation Bias)会让我们错上加错。当事情发展偏离期望时，我们通常会增加投入，向已经开始的行动方案中投入更多的资源，结果“赔了夫人又折兵”。
组织偏见也会影响我们对风险和失败进行充分探讨。尤其是，当面临不确定状况时，团队通常会进行集体讨论：一旦某个行动方案获得团队支持，不同意这个行动方案的人也会放弃自己的意见—无论这些意见多么有道理—转而同意团队决定。而且，如果团队领导人比较专制或过于自信，想尽可能地减少团队冲突、工作延误以及对其权威的挑战，集体讨论更是势在必行。
总之，为什么很多公司会对不明显的风险预警漠然视之或刻意曲解，个人偏好和组织偏见都是很好的解释。这些公司不仅不去缓解风险，相反，他们会尽量容忍看似不严重的失误和缺陷，把这些早期预警信号当作虚假警报而不是危险预警，因此，他们会采取措施把这些异常情况正常化，而这无异于给风险火上浇油。
要实现有效的风险管理流程，必须消除这些偏见。“风险缓解难免痛苦，因为它违反人类航天局趋利避害的天性。”喷气推进实验室（Jet Propulsion Laboratory，简称JPL，是美国国家航空的一个重要部门）的首席系统工程师金特里·李（Gentry Lee）说。在该部门项目团队中，所有火箭专家全是一流大学的优秀毕业生，他们很多人在学业上或工作中从来没有过失败经历。作为部门领导，李必须在部门内建立新的风险文化，他面临的最大挑战就是：如何让团队成员自然而然地考虑、探讨他们的优秀设计在哪些地方可能会出错。
在这个问题上，规定哪些要做、哪些不能做根本不起作用。事实上，这样的规定反而会事与愿违，让大家在心理上对这些规定产生依赖，觉得只须依照这些规定检查自己行为就可万事大吉，让大家不接受挑战、不开展风险讨论。战略风险与内部风险的管理方法大不一样，因此，我们首先探讨如何找出战略风险并缓解这些风险。
管理战略风险
管理战略风险
在过去10年的研究基础上，我们得出了管理战略风险的三种方法，而哪种方法具体适用于哪个公司，则主要取决于该公司的经营环境。每种方法都需要风险管理部门设置完全不同的架构和职责，但这三种方法都鼓励公司员工对现有风险假设提出质疑、对风险信息开展讨论。监管部门和专业协会试图把风险管理标准化，我们的研究结论却截然相反：“千篇一律的标准化风险管理不存在”。
独立专家 某些组织，尤其像喷气推进实验室这种挑战技术创新极限的组织，本身就面临着很高的风险，因为他们追求长期的、复杂的、成本高昂的产品开发项目。但是，由于这些风险主要源于已知的自然法则，长期来说变化不大，因此，这些机构的风险管理基本上是项目管理层面的。
例如：喷气推进实验室组建了一个由独立技术专家组成的风险审核委员会，其职责是对项目工程师的设计、风险评估以及风险缓解决策提出质疑。这些专家确保在整个项目开发周期内，会定期进行风险评估，因为这些风险本身是相对不变的。所以，该委员会只须每年召开一或两次风险审核会议，而项目领导和该委员会的领导则需要每年召开四次日常会议。
风险审核委员会的议事日程通常非常密集，在金特里·李看来，这些会议营造了“知识对峙的文化”。用其中一名委员克里斯·列维奇（Chris Lewicki）的话来说，就是“我们相互剖析，甚至对整个项目过程都言辞尖锐地求全责备。”通过这些会议，项目工程师们能够从别人的视角来审视自己的项目工作，“而不是整天只埋头苦干”。
这些会议，火药味十足却意义重大，因为它们不是要阻碍项目团队，不让他们雄心勃勃去追求自己的目标和设计，而是让工程师们事先考虑好，在会上如何描述、捍卫自己的设计决定，并督促他们对项目失败和项目瑕疵深入思考。而风险审核委员们，则故意扮成唱反调的人，去挑战工程师们与生俱来的高度自信，从而避免团队在风险过高的项目上投入太大。
在喷气推进实验室，风险审核委员会不仅鼓励大家对项目风险开展激烈辩论，而且，他们对项目预算还有控制权。该委员会根据创新程度，对每个项目环节都预留出成本和时间预算，比如：对早期目标进行简单补充，只需要10％～20%的财务预算，而需要实际工作的全新项目环节—而不是停留在无人问津的理论阶段—则需要留出50％～75%的意外开支。一旦出现不可避免的项目问题，这些预算可以确保项目团队有足够的资金和时间来解决这些问题，而不会影响到项目投放市场的日期。对于这些预算，喷气推进实验室非常严肃；一旦资金不足以支撑这些预算，项目就会被推迟或叫停。
辅助人员 对于诸如传统能源类以及公共设施类的许多组织而言，其技术环境和市场环境相对稳定，而且客户需求的可预测性较强。因此，长期以来潜滋暗长的公司风险大多源自于复杂组织中看似不相关的经营决策。
没有哪个团队具备足够的知识量，足以管理各个职能部门在日常经营中面临的风险。因此，公司需要专门设置一个相对小型的风险管理核心团队，负责从经营管理者那里收集风险信息。这样，对于整个公司面临什么样的风险，管理者才能有更清晰的认识，才能把全公司风险预测的宏观情况提供给公司决策者。
加拿大安省电力一号（Hydro One）就是这方面的典范。在CEO的大力帮助下，公司的首席风险官员约翰·弗拉瑟（John Fraser）每年组织公司员工参加研讨会，让来自各级别、各职能部门的员工们讨论公司在战略目标上面临的主要风险，并给这些风险排序。具体做法是：以无记名投票方式，根据每种风险的影响、发生概率以及现行措施的控制力度，公司员工对这些风险按1～５分的风险系数打分，再把这些风险按得分高低进行排列。而后，与会者讨论排序结果，并对这些风险因素各抒己见、开展辩论。最后，他们达成一致意见，并用形象的风险地图记录下来，提出行动计划，还为每个重大风险一一指定“负责人”。
通过把资金划拨、预算决策与既定风险一一对应，电力一号加强了员工们的责任感。对于能有效、高效降低公司风险的项目，公司层面会在资金规划过程中为其划拨上亿美元的预算；风险团队号召技术专家对直线工程师的投资计划和风险评估提出疑问，并让独立专家监督资源配置过程。在年度资金划拨大会上，为了从基于风险的资金规划中争取到项目资金，直线经理必须在同事和高管面前陈述项目提案的理由，因此，他们必须学会克服自己的偏见，不要试图去隐藏或缩小自己所负责领域的风险。
内部专家 由于资本市场不稳定，分散的交易员和投资经理做出的决定会产生潜在影响，所以，金融服务行业面临特殊的风险问题，如：投资银行的风险状况可能会因为某笔交易或重大市场行动而出现巨大变化。对于这些机构的风险管理，内部专家必须长期监控行业的风险状况，并对其保持长期影响力。同时，他们还要与直线管理人员密切合作，因为这些直线管理人员的任务就是想出新主意、新创新以及发现新风险，并在一切运行良好的情况下，产生新利润。
2007年，全球金融危机已初见端倪，摩根大通开始实施这一方法。直线机构的风险经理直接向直线高管和独立的风险管理核心部门汇报工作。有了与直线管理人员面对面的接触，这些熟悉市场的风险经理可以经常提出“如果……怎么办”的问题。这样，基金经理的既定假设受到挑战，能够看到完全不同的形势。从正常时期和极度困难时期两个角度，风险经理对所提议交易将如何影响整个投资组合做出评估，因为在极度困难时期，不同资产类别之间的收益相关性更大。“基金经理手头可能有三项交易，而风险模式却表明，任何一项交易都会导致同样类型的风险，”摩根公司的风险经理格雷戈里（Gregoriy Zhikarev）解释说，“十分之九的基金经理都会说，‘不，我想要的结果并不是这样的’。接下来，我们就会开展深入讨论，重新设计这些交易。”
在直线组织内部，风险经理面临的最大危险是，他们会“入乡随俗”，把自己与业务部门的核心领导团队相混淆——结果，他们会成为促成交易的人，而不是对交易提出质疑的人。而要避免这种情况，就必须让公司高级风险官员，甚至是公司CEO出面，为公司的风险文化定下基调。
避免职能陷阱
避免职能陷阱
即使管理者有一套倡导风险讨论的体系，也须提防第二种认知行为陷阱：对风险进行标签化分类。因为很多战略风险（及一些内部风险）是可预测的，甚至是常见的，所以公司趋向于把这些风险进行严格的分门别类，尤其在公司的业务职能线上。比如：银行通常把风险分成“信贷风险”、“市场风险”、“经营风险”几大类；而其他公司的风险分类通常包括：“品牌风险”、“信誉风险”、“供应链风险”、“人力资源风险”、“ＩＴ风险”、“财务风险”。
这种标签化分类法，让公司在有效风险管理的相关信息及其职责方面有章可循，却阻碍了公司对不同风险之间如何相互作用进行深入讨论。有效的风险讨论应该有分有合，既区分对待不同风险，又对这些风险综合考虑，因为即使很小的风险事件叠加在一起，也会出乎意料地相互强化，结果让公司业务偏离既定轨道。
把风险讨论固定在战略规划的框架下进行，公司管理者可以构建起全公司范围内的风险大局观，因为作为一个综合化流程，战略规划在大多数经营状况良好的公司中很常见。例如，印度ＩＴ服务公司印孚瑟斯技术公司（Infosys，另译：信息系统技术公司）从公司的战略评估与沟通工具平衡记分卡开始，引出大家对风险管理的讨论。“我们问自己，应该注意哪些风险，”首席风险官员兰加纳特（M.D. Ranganath）说，“这样，我们会逐渐把关注点从风险转移到由平衡记分卡规定的业务目标上。”
在构建平衡记分卡时，印孚瑟斯技术公司把“发展客户关系”作为关键目标以及业务进度的衡量标准，例如，年度业务额度超出5000万美元的全球客户数量以及这些大客户贡献给公司的收益增长百分率。把目标和绩效标准统一起来考虑，使得管理层意识到，公司战略带来了一个新的风险因素：客户违约。如果印孚瑟斯技术公司的业务伙伴是很多小客户，某个客户的违约不会影响整个公司的战略。但是，如果业务量超出5000万的某个大客户违约，则肯定会严重损害公司战略。因此，印孚瑟斯技术公司把每个大客户公司的信用违约掉期率当作客户违约概率的一项主要指标，对之进行监控。如果客户的掉期率上升，印孚瑟斯就加速回笼应收账款，或者要求客户按进度分期付款，从而减小了客户违约的可能性及其影响。
又如，德国汽车制造商大众汽车巴西分公司（Volkswagen do Brasil，以下简称大众）的风险管理部门把公司的战略图用作风险对话的起点。对于战略图上的每个公司目标，风险团队都要找出哪些风险事件可能会让大众无法达成该目标，然后，给每个风险事件设计一张风险事件卡，在卡上列出该风险事件的实际影响、发生概率、主要指标以及潜在缓解行动。此外，大众还为每项风险的管理指定了主要负责人（例示：风险事件卡）。接下来，风险团队还要为高层管理撰写高水平的结果综述报告（例示：风险汇报卡）。
要引入系统化流程，以发现、缓解战略风险，此外，公司还须建立风险监管机制。印孚瑟斯采用一种双层机制：由风险管理核心团队找出主要的战略风险，并确立核心政策；由专门的职能团队与当地的业务团队磋商，一起设计、监控政策条款及控制措施。核心团队有权力也具备专门技术去帮助业务部门应对日常的风险威胁和风险变更，而一些例外事件则必须让核心团队做进一步审核。比如，如果某位客户关系经理想给某个公司更长的信贷期限，而该公司的信用风险系数又很高，那么职能部门的风险经理就可以向核心团队申请进一步审核。
这些例子说明，风险职能部门的人员数量和职能范围并不是由公司规模决定。事实上，印孚瑟斯这么一个大公司，其风险团队规模相对较小，其职责也仅限于：促成公司上下的风险意识与沟通，向高管建议如何基于风险进行资源配置。相比之下，像喷气推进实验室、摩根大通这种相对较小的部门或公司，却需要为每个项目都配备由内部风险经理组成的风险审核委员会或审核小组，以便让这些风险经理运用自己的专业技术对业务决策风险做出评估。作为一家大公司，印孚瑟斯有着宽泛的业务范围和战略范围，既需要强有力的核心风险管理部门，又离不开各地的风险经理，因为这些风险经理可以支持当地的业务决策，并推进与核心风险管理团队之间的信息交流。
不可控风险的管理之一
不可控风险的管理
作为第三类风险，外部风险基本上不可能用前两类风险（可预防风险和战略风险）的管理方法来减小或避免，因为外部风险大多不受公司本身的控制；公司应该关注如何发现外部风险，评估其潜在影响，并想办法最大程度地减缓影响。
一些外部风险迫在眉睫，公司管理者在管理公司战略风险的过程中就得以控制这些风险，比如：在全球金融危机发生之后的经济萧条期，印孚瑟斯发现，扩充全球员工队伍这一公司目标衍生出了新的风险：保护主义越来越严重。其结果是：外籍人士在经济合作及发展组织国家（OECD）中的工作签证和工作许可证越来越难以办理，而印孚瑟斯在这些国家的客户又很多。虽然从技术层面讲，保护主义倾向的立法规定应该是不受公司控制的外部风险，但印孚瑟斯却把这些外部风险当作是战略风险，并专门为此创建了风险事件卡，在卡中加入了新的风险指标，即有双重国籍或现有工作许可证不在印度的员工数量及其百分比。如果员工流失率导致这一数量和百分比有所下降，印孚瑟斯的全球战略就会受到威胁，因此印孚瑟斯重点落实了公司的人才招聘政策和留住人才政策，从而减小了这一外部风险事件的影响。
然而，大多数外部风险需要具体问题具体分析，因为其发生概率相当较低，而且公司管理者在正常的战略制订过程中很难预见到这些风险。总的说来，外部风险可以分为以下几种：
·会产生直接影响的自然灾害和经济灾难。基本上，这些风险是可预测的，尽管它们发生的具体时间很难预测，比如，可以预测到加利福尼亚某天会发生大地震，但无法预期其具体时间和具体地点。只有当出现相对较弱的预警信号时，才可以预测这些风险事件。自然灾害例如导致欧洲航空中断一周的2010冰岛火山爆发等，经济灾难例如重大的资本价格波动等。当这些风险出现时，影响通常是灾难性的，比如2011年日本大地震和海啸。
·有长期影响的地理政治变化和环境变化。这些风险事件包括：政治变革（如重大政策变革、政变、革命、战争）、长期环境变化（如全球变暖）、重要自然资源枯竭（如淡水资源）。
·有中期影响的竞争性风险事件。这些风险事件包括：颠覆性技术的出现（如互联网、智能手机、条形码）、行业巨头的重大战略行动（如亚马逊进入零售书店行业，苹果公司进入手机行业和消费者电子产品行业）。
不可控风险的管理之二
对于这些外部风险，公司应该具体问题具体分析。
后续的风险压力测试 压力测试有助于公司评估一、两个具体变量的重大变化，虽然这些变化的具体发生时间不可预测，但影响却极其迅猛。比如金融服务公司用压力测试来评估一些风险事件（如：国际油价增至三倍、汇率或利率大幅度波动、大机构或主权国家违约）将如何影响交易头寸及投资。
然而，在很大程度上，压力测试的实际用途依赖于上述变量如何变化这一假设——而事实上，假设本身也是有偏向性的，比如：在2007至2008年间，很多银行在后续压力测试时的假设是，将出现最糟糕的经济前景，在此形势下，美国房价将趋平，并保持一段时期的平稳状态。很少有公司认为房价会开始下跌，并在此假设下进行压力测试——而从最近的现有数据来看，公司应该基于这一大趋势校正自己的假设。大多数公司只根据美国房价最近几年持平、没有明显下跌的事实就草率提出假设，因此，他们的市场评估过于乐观。
情景规划 该工具适用于长期分析，尤其是5-10年的长期分析。它是壳牌石油在20世纪60年代设计出来的，是一套系统化流程，用于界定全球未来状态的合理界限。规划人员会检测政治、经济、技术、社会、管理及环境因素，并选择对自己公司影响最大的几个重要参数（基本上是其中四个）。有些公司直接利用顾问团队的专业知识，来了解公司及行业日常关注领域之外的重大趋势，因为这就是他们在情景规划中要考虑的因素。
对于选定的任何一个参数，规划人员会对其今后5～10年中的最小和最大预期值进行评估，把所选四个参数各自的最大、最小值归笼在一起，就得出16种情景。其中一半情景是看似合理实则谬误的，因此不被计入考虑范围；然后，规划人员会对公司战略在余下8种情景中的表现进行评估。如果管理者认为公司战略的构建前提过于乐观，他们就会适当调整公司战略，使之更适合相对悲观的情景，或者他们会制订计划，明确规定：如果事情正日益朝着违反该战略的方向发展，他们应该怎样改变公司战略。
军事演习 军事演习评估的是：当出现颠覆性技术或者竞争对手出现战略变革时，公司会在多大程度上受到影响。在军事演习中，公司委派一个3～4个团队去预先设计，现有竞争对手或潜在对手会在未来1～2年（通常比情景规划的时期更短）内采取什么样的公司战略或行动计划。这些团队定期召开会议，讨论竞争对手将如何攻击本公司的战略目标。这一方法有助于帮助公司领导克服偏见，让他们正视与自己理念相悖的现实情况，比如，竞争对手可能采取行动来瓦解本公司的战略目标。
公司可以用以上各种方法（包括：后续风险测试、情景规划、军事演习）来界定风险事件，却无法影响这些事件出现的可能性。但是，管理者可以采取具体行动来减小这些风险事件的影响。因为这些不可预测的风险事件绝对不会涉及到道德危机，因此，公司可以采用投保或对冲方案来减小风险系数，比如航空公司购买金融衍生产品，以此来避免受到油价暴涨的影响。此外，公司还可以用当前投资来避免今后更大的损失。比如在地震多发带的设备制造商可以加大建筑成本，以保护重要设施免受地震损坏。
另外，面临同类型风险事件的多家公司可以团结起来，一起去减缓风险事件，比如美国北卡罗来纳州大学的计算机数据中心面临飓风威胁，而位于加利福尼亚圣安德烈亚斯断层带的一所同类型大学，其计算机数据中心也面临着地震危险，而这两个地区同时出现飓风和地震的可能性微乎其微，因此这两所大学可以每晚为对方做数据备份，从而减缓各自的风险。
领导层面临的挑战
领导层面临的挑战
风险管理与战略管理大相径庭：风险管理针对的是对公司有负面影响的威胁和失败，而战略管理涉及的是对公司有积极作用的机遇和成功。大多数领导团队在战略实施时会尽量倡导“可以做”的公司文化，而风险管理却与这一文化背道而驰。很多领导人倾向于忽视未来；他们不愿意花时间和金钱去避免未来问题，因为，在他们看来，这些不确定的问题只会悄然出现在其他公司的眼皮底下。况且，风险缓解通常涉及到分散资源、多样化投资，这都与成功战略倡导的“高度集中化”理念相违背。因此，管理者觉得，从业已规划好的公司战略中找出风险，这一过程简直与公司文化水火不容。
综上所述，大多数公司需要设立专门的职能部门来负责战略风险管理及外部风险管理，该部门的规模大小可以视公司具体情况而定，但它必须直接向公司最高领导团队汇报。
事实上，如何与高层领导培养密切关系是该部门最为重要的工作（这一点虽有争议）；毕竟，一个公司经受风雨的能力主要取决于：在公司阳光灿烂、万里无云的时候，公司高管们对待风险管理部门的态度。
这就是为什么，有些公司在金融危机中倒闭，而有些公司却得以幸存。那些倒闭的公司简单地把风险管理看成是一种合规式做法，因此，公司的风险经理与高层管理及董事会的日常接触相当有限，而且，高管们总是不理会风险经理对杠杆头寸和集中持仓量的警示。相反，高盛投资公司和摩根大通却很好地经受住了金融危机的考验，因为，他们内部的风险管理部门和领导团队实力强大，非常熟悉公司的多项风险因素，并有效管理了这些风险因素。作为摩根大通的首席风险官员，巴利·祖布罗（Barry Zubrow）这样说，“名义上我是首席风险官，但事实上，CEO杰米·戴蒙（Jamie Dimon）才是真正的公司首席风险官。”
风险管理是一种非直觉行为，有悖于很多人、很多公司的既定偏见。制订规则、遵守规则的程式化合规做法可能会缓解一些重要风险因素，但并不能应对所有风险因素。只有管理者对公司面临的多种风险进行系统化的深入思考，并为每种风险制订相应的管理流程，公司才能实现积极的、划算的风险管理。这样的流程能够帮助公司改变原有的管理偏见，不再想当然地认为，世界正如他们想象的那么安全稳定，而是接受这一事实：世界本来就是风险丛生的，或者，世界可能变得风险丛生。(译/邓小莉)
罗伯特·卡普兰是哈佛商学院的贝克基金教授，是平衡记分卡管理系统的创始人之一。
安奈特·米凯希是哈佛商学院的助理教授。
