原標題：當董事會感到驚訝時，誰是罪魁禍首?
許多令人震驚的公司醜聞對某些知名大公司造成了巨大損害，有的聽起來像是過去十年十大新聞事件的一部分——東芝的腐敗賬務，大眾的柴油門，富國銀行的虛假賬戶，英國建築巨頭Carillion的倒閉，尼桑首席執行官的薪酬舞弊。
所有追求良好治理的人——從投資者、監管機構、合規部門、風險經理到獨立確認的提供者——都應該對這些引人注目的醜聞深感不安。然而，所有這些治理失敗的例子，都有一個共同而令人不安的次要情節：在每一個案例中，這些高度成熟而久經考驗的公司董事會對本公司風險管理缺陷的嚴重程度竟然毫不知情，然而，正是這些風險管理缺陷侵蝕了股東的價值。
大量的分析結果最終都指向這樣一個明顯的問題：董事會在哪裡？IIA最近發佈的風險報告《OnRisk 2020：理解、調整和優化風險的指南》提供了一些有價值的見解，可能有助於回答這個問題。
《OnRisk 2020》是第一個提出風險管理的三個主要參與者——董事會、執行管理層和內部審計——之間必須就風險管理觀點達成一致性的報告。這份報告指出，董事會對風險管理具有以下不切現實的觀點：
“對於所在組織的每一個關鍵風險(報告中提到了11個風險)，在對管理風險的能力進行評價時，董事會給出的評價都高於執行管理層。這一發現表明，董事會未能對執行管理層提供給他們的信息提出批判性的質疑，原因要麼是信息接收不足，要麼是董事會自身在理解和評估風險方面的能力有限。調查結果還表明，執行管理層對自己管理風險的能力，不是對董事會完全透明的，而是有所保留的。”
這種被誤導和過於樂觀的風險管理觀點背後，至少有三種可能的原因：
1.董事會成員採取“鴕鳥政策”
隨著風險環境變得更加動態、技術驅動和快節奏，現代董事會成員的工作變得越來越複雜和耗時。董事會僅僅聚焦財務就足夠的時代已經一去不復返了。這種新的現實促使人們呼籲改變董事會的典型形象，使其成員更加多元化、更懂技術、更年輕。
但單憑專業的多元化和年輕人的視角，並不能解決《OnRisk 2020》中提到的一個更基本的問題。如果董事會不能對執行管理層提供給他們的信息提出批判性的質疑，那他們可能永遠無法全面、準確地瞭解風險和風險管理。很多時候，董事會成員們並沒有對高管的工作提出足夠分量的職業懷疑。
造成這一缺陷的一個重要原因是，許多(如果不是大多數)高管最終進入了董事會。他們要麼是由董事長/首席執行官親自挑選的，要麼是與公司、首席執行官或其他董事會成員有某種預先存在的聯繫。很長一段時間以來，通往董事會的道路，並不是你擁有什麼專長，而是你認識誰。這種舒適的安排可能會讓董事會成員覺得自己受制於管理層，因此不太可能提出深入的問題。
2.執行管理層採取“你若不問——我就不說”
《OnRisk 2020》的第二個發現著眼於董事會、執行管理層和內部審計如何根據風險管理成熟度對11個關鍵風險進行評級。同樣，董事會比高管們更樂觀地看待公司管理風險的能力。
這一點很能說明問題。可以說，當董事會對風險管理能力的評估持續高於處於風險管理一線人員時，這表明管理層沒有對董事會完全透明。
即使這是不可原諒的，但這也是可以理解的。那些每年與董事會僅僅會面兩到四次的高管，必須在這些有限的會面時間裡提供大量信息。一些風險可能沒有得到應有的全面覆蓋，這並不奇怪。但坦率地說，我認為更有可能的情況是，執行管理層利用這些有限的機會，把自己最好的一面展示給董事會，並淡化負面影響。
3.CAE（首席審計官，內審網注）沒有發聲
《OnRisk 2020》中沒有提到的一個解釋是，內部審計在這種扭曲的風險管理架構中的角色。作為風險管理獨立確認的唯一聲音，內部審計有義務在董事會沒有獲得完整、及時和準確的信息時大聲說出來。
說起來容易做起來難。通常情況下，內部審計不能評估提交給董事會的信息。事實上，《2019年北美內部審計脈動調查》發現，23%的CAEs從未與董事會和管理層討論過提交給董事會的信息的完整性和及時性，另有34%的CAEs表示，這種討論只在不尋常的情況下發生。內部審計必須更好地定位自己，在向董事會提供信息方面提供獨立的保證。
上面的分析清晰地說明了兩件事。首先，我們應該問的不是“董事會在哪裡?”而是“董事會在風險管理方面的偏頗觀點，應該由誰負責?”答案很清楚：董事會、執行管理層和內部審計各有其責。
解決方案應該同樣明確，在我看來，《OnRisk2020》報告提供的最有價值的見解是：組織風險管理工作的責任和透明度對於董事會、執行管理層和內部審計之間的適當理解和協調至關重要。任何不足都是對良好治理的不可接受的威脅。
我一如既往地期待您的評論。
理查德•錢伯斯 / 文；陳國華 / 譯；文章版權歸作者所有。部分圖文源於網絡，已標註作者信息，部分無法查明作者及首發來源，僅作同行學習研究之用，如涉版權，後臺聯繫刪除。
閱讀更多 CIA內審師小站 的文章
