風險管理並非一蹴可幾的工作，必須依賴數年規劃與持續推展，才能逐步落實為企業文化的一環。所以，實施新巴塞爾資本協定(Basel II)的第二支柱時，主管機關即要求銀行先訂定「監理審查原則實施計畫」，從策略規劃的角度，分析銀行的暴險狀況及當前風險管理不足之處，據以訂出未來短、中、長期的目標，逐步往最佳實務或健全的風險管理核心原則邁進。

設定風控最終使命

根據一般的策略規劃流程，銀行在規劃時，首先應設定好風險管理的最終使命(mission)。只是，很多人對此問題似無完整的瞭解，因而產生一些似是而非的想法，比如說：有人以為只要根據Basel II第一支柱的設定，在信用與市場風險從標準法分別進步到內部評等法(IRB)與內部模型法(IMA)，作業風險從基本指標法進步到標準法或進階衡量法(AMA)，就是其風險管理的目標。然而，這些只是在談資本計提方法的精進，達成時或許可帶來風險管理能力的提昇，但不是風險管理的最終使命，而且，只要法規有所變動，就又必須調整目標。

建置內部評等系統

比如說，在信用風險方面，銀行可以規劃建置內部評等系統。內部評等系統的好處在於透過系統化的機制確實評估銀行的各式暴險。如果銀行已有相關的風險評分或評等系統，則可先利用各種統計檢定與驗證的方式，評估所使用的評分系統區分好、壞客戶的能力，以利找出系統缺失加以改進。如此則不僅能提昇銀行的模型管理能力，且當評分系統運作成熟、廣為業務人員接受後，更可做為進一步推動RAPM的基礎。

設立獨立風控部門

擬訂好目標之後，就執行面而言，通常的分工是：董事會（或可成立風險管理委員會）負責風險政策及風險管理的最後決策；管理階層負責執行董事會之決策；風險管理部門負責風險管理政策與機制的設計、風險衡量及相關報表的產出等；最後，由內部稽核來負責審查各部門是否依照所設計的風險管理機制確實執行。

3