为了遵守SOX法案，企业被要求把重心转向改善公司整体的风险管理。监管机构正在向董事会施压，希望他们更多地进行风险监督，因此在企业内部自上而下，都需要提高对于总体风险承担的理解，以及风险对于战略目标所形成的威胁，Caldwell说。这意味着，CIO和IT风险管理者越来越多地被要求精确地描述IT和业务风险之间的关联。

 

　　Gartner公司最近的一项风险管理调查显示，约有43%的受访者声称IT部门提供的风险管理数据的确会影响董事会的相关决策，Caldwell说。这听上去似乎是个好消息，但它也同时意味着大多数受访者并不认为IT信息可以影响董事会的决策。不仅如此，还有一些受访者甚至质疑董事会是否能够明白IT部门提供的数据。

 

　　为了增加积极影响的百分点，CIO们需要更好地让董事会理解IT部门和业务部门之间的关联，Caldwell说。首先，CIO们必须明白以下内容：在涉及企业风险管理上，董事会，CIO和其他IT主管们在企业内扮演什么角色？而在向董事会汇报时，CIO应该如何将风险和业务目标相关联，来更好的引起董事会的关注？Caldwell提出以下两项指导原则来回答上述问题：

 

　　业务目标也是IT目标。本质上，IT部门和企业其他部门在一定程度上都享有相同的业务目标。这使得每个人都在向这同一个目标而努力。

 

　　IT风险也是业务风险。如果业务部门和IT部门都有相同的目标，那任何IT风险也等同于业务风险。这有助于使双方都共同关注业务成果。

 

　　从表面上来看，我们都认为董事会不应该管理风险，Caldwell说。“董事会在风险管理中起的作用是确保有一个有效的风险管理计划，而公司的管理层正在有效地进行执行”，他说。“他们起一个监督的作用。”

 

　　任何和董事会成员会面的监管机构——在大型企业内发生的频率正在逐渐提高，特别是金融服务行业——都会询问相关问题，以搞清楚董事会是否真正参与到监督风险管理计划中。

 

　　“（董事会成员）认为一个有效的风险管理计划意味着......他们不仅是拿到一个一年一次的，十大风险报告，而是希望有真正的风险指标来显示管理层的确在监督”，Caldwell说。这些指标还应该权衡管理层的风险偏好，这也正是风险管理计划的意义所在。

 

　　从这一角度而言，CIO们需要了解可能阻止或妨碍企业实现其战略目标的IT风险指标。这一区别是很重要的。不再是把重点放在关注IT资产的风险，CIO们更应该关注在业务绩效风险中起重要作用的技术。

 

　　“这并不意味着我们不再关心有关IT资产的风险，但我们会在向由董事会和高级管理层设立的业绩目标努力的过程中，进行相应的审视”，Caldwell说。“企业绩效考核才是我们向董事会进行汇报时需要呈现的。”

 

　　当进行陈述时，尽管花了很长时间进行准备，CIO们都应该牢记他们只有大约15分钟的时间来得到认同–这也可能是一年中唯一一次正式的机会。这一陈述不应该有任何惊喜或者全新的信息，Caldwell强调。首席风险官，首席财务官，首席执行官和关键的董事会成员都应该事先知道CIO将会谈论什么。

 

　　实际上这一演示最好只包含四张幻灯片，Caldwell建议：

 

　　幻灯片一：列出三至六个企业的战略目标。这是为了让董事会知道你，作为CIO，知道并了解目标是些什么。换句话说，你知道什么对于董事会才是重要的。

 

　　幻灯片二：指出对应上述各项战略目标，会产生影响的最大IT风险。

 

　　幻灯片三：解释针对上述风险正在实施的相应风险管理措施。

 

　　幻灯片四：回顾和总结这一陈述。