大多数高管对风险管理持相当认真的态度，恨不得消灭各种有可能摧毁价值，声誉或整个公司的危机。特别是在全球金融危机之后，许多人努力将风险管控相关的流程和监管结构做到彻底和到位，以便在养虎为患前，监测和纠正欺诈、安全漏洞、操作错误，和高杠杆等情况。

然而过程和监管结构虽然重要，却只是一部分。有些组织已经发现，人员的态度和行为，才是风险管控的第一线，如果忽视，危机会层出不穷。这种所谓的风险文化就是人类做决策的环境，而这些决策又支配着企业日常活动的每一个细节；甚至那些看似小而无害的决定也是至关重要的。拥有一个强大的风险文化并不一定意味着承受小风险。事实上，企业文化最有效的公司面临大量的风险，因为它要获取新业务，进入新市场，并投资于全面增长。那些风险文化做得不好的公司风险反而较小。

当然任何程序都不可能完全保证公司不碰到突发事件，但我们相信创建正确的风险管控文化能有效遏制某些人把公司置于险境。我们研究了30家跨国公司的风险文化报告中的20个案例，发现了最有效的管理者呈现出某些共性——使他们不管在躲避风险还是利用风险时，都能快速反应。

强势风险文化的特征

最有效的风控经理总是在刚有苗头时就迅速把风险提交到核心部门，能打破僵化的治理机制来寻求专家的参与，不管他们是不是风险管理委员会的成员。他们可以如此熟练地应对风险是因为他们活在一种承认风险的文化中，他们鼓励透明公开，突发状况在初期就会公布。无论是在设计还是执行时，他们都非常尊重内控。

承认风险

要经理们承认风险是很需要信心的。特别是要在公司内部，股东甚至监管者面前讨论——这需要管理者依靠自己的政策和程序，来解决可能让公司陷入危机的问题。

承认风险与不承认风险的公司文化差异很鲜明。比如，两个全球金融机构面临类似的风险并有着类似的承受风险的能力。前者创建了承认风险的文化，这意味着他们可能会召集一群同行讨论整个行业面临的问题，或早早应对资本和薪酬方面的监管趋势。它背后的立场是：如果我们看到风险，识别风险，即使它很可怕，我们也能脱险。如果看不到风险，又谈何拿出来讨论呢？该机构在面临一系列风险事件时表现的坦率赢得了监管机构的尊重和投资者的信任。

相比之下，另一个机构的态度是：还是等到最后关头再处理吧，因为这些事情最后可能就是虚惊一场。

鼓励透明度

管理者相信他们组织的政策和管控可以处理甚至受益于风险的话，就会愿意分享可能引发风险的各种信息，在问题成为危机之前就早早解决。这意味着他们看到问题的产生，往往在几个工作日内就动员组织分析和补救，必要的时候提交到董事会层面。这里有一个案例，一家能源公司的下属部门在新兴市场执行订单，此时，该部门发现承包商的招聘行为有违公司的政策和做法。部门领导迅速把这个问题提交到全球管理委员会，商议是否继续与该承包商合作。最后，委员会重新分配了各承包商的项目任务，降低了公司的招聘风险，保障了项目的利润回报。

不鼓励如此讨论或盲目自信的公司最容易因麻痹而无法识别风险。有时，员工不愿意告诉老板坏消息，因为他们知道老板不想听坏消息，或者他们怕被责难。直到隐瞒不过去了，他们才会提醒管理者相关的风险。

尊重风险

大多数高管虽然自己应该监控人员的态度和行为，以更好地应对紧急情况，但他们却在无意中纵容了破坏风控的人。他们想当然地认为，只要有一套风险管控的制度在那里，公司就不会滑向危机的边缘。在一家大医院，管理者制定了很多指导规范，但员工却认为不切实际。因此，他们经常绕过这些规范，形成了蔑视一切指导方针的文化，损害了患者的利益。

尊重规则是竞争优势的来源。全公司的信心来源于对风险的详尽探讨，这就减少了人们对失败的恐惧，鼓励员工拿出竞争对手拿不出的勇气。信心也来源于一系列风险管控制度，这就是的一个适当地衡量组风险控制和理解，并且要知道：如果遵守了这些管控制度，公司还是跌入虎口的话，这就不是人力所能及的了。

结语：很明显，真正的大麻烦是缺乏风险意识。但这并不意味着，有一套完备的风险相关的规范和监管结构就足以避免危机。公司不能想当然地认为一个健康的风险文化是自然而然形成的。相反，领导团队必须像对待业务问题一样去建立风险文化，端正日常的风险决策态度。