第一步：發(fā)現(xiàn)必要性
一些CIO們發(fā)現(xiàn)了采用ERM的方式是不可避免的：如果企業(yè)不從整體上來把握風險的話，大家面臨的只有死路一條。例如，IT 系統(tǒng)已經(jīng)成為美國海軍作戰(zhàn)方式的核心。美國海軍部門的CIO Dave Wennergren 正在為海軍艦隊開發(fā)一個全軍的內(nèi)部網(wǎng)絡，在今年完成之后，該網(wǎng)絡將給陸基部隊和海洋上的艦隊提供一個公共的、標準的平臺，通過這個標準的平臺，他們可以進行戰(zhàn)斗情報的實時共享和交換。Wennergren 指出，如果系統(tǒng)失靈的話，艦隊官兵和飛行戰(zhàn)斗人員將得不到他們要攻擊目標的信息。9.11事件中，美國的五角大樓也受到了攻擊，而海軍指揮中心受到的攻擊則讓軍事設(shè)施從當?shù)氐耐ㄓ嵲O(shè)施中暴露在風險之下，這也從一個側(cè)面強調(diào)了Wennergren 的ERM是關(guān)鍵的觀點。
當然有些時候，特別是企業(yè)的CEO 或者是公司董事會要求你去實施ERM的戰(zhàn)略的時候，你就不需要花費什么額外的工作來讓你自己相信ERM的價值了。一直到90年代中期，J.P. 摩根的懂事們才做出了向新的商業(yè)風險投資的決定，這還是通過董事會的辯論獲得足夠的說服力才同意的。不過遺憾的是，新的戰(zhàn)略給這家老牌的投資銀行帶來了一些不愉快的經(jīng)歷，因為那些投資都沒有達到預期的目標。Bill Sharon 曾經(jīng)擔任過該投行的技術(shù)風險首席管，現(xiàn)在是J.P. 摩根的顧問和執(zhí)行懂事，據(jù)他回憶，當初決定在新興的國家開辦辦事處的決定，并沒有考慮運營的風險和范圍，包括對銀行現(xiàn)有的IT系統(tǒng)和通訊設(shè)施帶來的沖擊，正是這些忽略最后才導致了那些不愉快的經(jīng)歷。
當時，J.P. 摩根的董事長要求執(zhí)行經(jīng)理們開發(fā)出更好的決策過程來選擇投資。Sharon 和房地產(chǎn)部門的主管一起合作，率先開始設(shè)計新的流程來滿足董事長的要求——包括IT設(shè)施要滿足任意新的業(yè)務的需求。當設(shè)計完成后，他意識到他事實上開發(fā)了一個從整體上分析企業(yè)風險的流程，從那以后他就開始完全接受了ERM的思想。
Sharon 開始詢問公司所有部門的人，新的業(yè)務選擇流程會給他們帶來什么樣的影響。然后他開發(fā)出一個需要滿足的條件清單，只有清單上列出的條件得到滿足后，相關(guān)的員工才可以把新產(chǎn)品或者新的辦事處的地點拿到執(zhí)行委員會上去討論，包括哪些IT設(shè)施或者相關(guān)的支持設(shè)施的投資。當這個項目被批準實施以后，新的項目的發(fā)起人就要去搜集每條業(yè)務線或者相關(guān)部門的信息，以保證他的項目能夠滿足Sharon 清單上的要求。例如，當有人提出要在墨西哥城開設(shè)一個辦事處，該項目的發(fā)起人就要報告項目實施后需要多少臺電腦，需要什么樣并且如何獲得網(wǎng)絡連接，以及電力供應的可靠性。雖然所有的這些事情并不是例行的公事，但是它們通常都對新的風險投資的成功具有關(guān)鍵的作用。
Sharon 解釋道：“我發(fā)現(xiàn)在IT系統(tǒng)中或者在任意的業(yè)務中，CIO的責任都是沒有邊界的，你不可能做完你的工作就回家。而且，在IT系統(tǒng)中，其實是沒有一個人真正知道經(jīng)營戰(zhàn)略是什么的。那就是我對ERM的體會，它讓所有的人都處于同一個平面。”
第二個步驟：定義ERM的語言信息
CIO們成為企業(yè)ERM項目的主管之后，需要做的第一件事情就是必須給出明確的定義為什么ERM對于我們的企業(yè)是必不可少的，這是ERM項目中最重要的一步之一，這可以讓更多的人更好的去理解ERM的意義，同時這也是非常難的一步。因為，ERM項目是橫跨整個企業(yè)的，你必須要了解企業(yè)各個不同業(yè)務線的復雜的運作及其相互之間的關(guān)系。同時，CIO們還需要考慮你可能忽視或者壓根就沒有考慮到的事件和結(jié)果，尤其是企業(yè)的文化是把考慮風險當作一種悲觀者的看法的時候。
Barclays （英國巴克萊銀行）的商業(yè)道德戰(zhàn)略負責人Da