所謂風險管理，人人有責。每個人都有責任協助組織達成它的目標。而且，在日常的業務經營上，要管理這些風險，需要每位員工瞭解本身的工作存在哪些可能的風險。知識分享工作做得好的話，組織中的員工便可以視本身的職能角色，去組織、分門別類和監視風險，產生積極管理風險的效果。

跨職能的風險管理，做起來則比較困難，因為大部分公司的不同職能領域，都各自發展本身的資訊庫。風險管理專家一致認為，各職能之間的介面其實存在最大的風險，原因是各職能內部的員工並沒有想到他們的作業流程會對其他領域造成什麼樣的衝擊，或者對全公司造成哪種累積性的影響。如何管理跨職能的知識分享，對於整體企業的風險管理效能影響很大。

舉例來說，引進某種新的作業流程時，通常會要求提案者確認有哪些風險存在，並且設計一些管制方法加以因應。在確認其他領域會受到什麼樣的衝擊時，則需要跨職能的攜手合作。擬議中的管制措施，是不是應該傳布到所有利害相關的社群中？必須共同參與的人員散處不同的事業部、地域或業務單位時，如何確認這些社群？批准程序需要做到哪種地步，以確保所有的風險都已經考慮到，而且所有的利害攸關單位都能接受相關的管制措施？擬議中的管制措施，是不是應該向外部的標準看齊？應該花費多少精力在批准程序上，以確保員工投入充分的心力，但又不致投入太多？

企業領導人需要綜觀組織整體的風險，但是極少公司發展出這種複雜的知識管理系統，能夠捕捉和處理這類資訊，並將它轉化成知識。《創造性破壞》（Creative Destruction）的作者理查•佛斯特（Richard Foster）說：「我認為管制系統是我們今天最重要的管理層面之一，卻最不被人瞭解，也最少有人加以檢視。大部分公司往往任令管制系統蔓延滋長，可能從財務面而來，也可能從生產面而來，或者從銷售面而來。因此隨著時間的流逝，你會有幾百個這樣的系統。問一般公司他們設有多少管制系統，大多都張口結舌，答不出來。問他們花費多少成本在管制上，他們會說：『我們未曾依此分類加以加總。』請他們從效果最好到效果最差排出各種管制系統的高下，然後廢除最差的20%，他們卻做不到。」

大部分組織中，內部稽核人員必須就商業風險的性質、管理它們的方法，以及對組織的經營流程和策略目標造成什麼樣的衝擊，彙總提出資訊。極少其他企業職能者有辦法從如此寬廣的視野去觀察整個組織。內部稽核人員由於所扮演的獨特角色，能夠在整個組織分享相關的資訊，從而提高公司有效管理風險的能力。

最近美國通過實施的法規，認清了這個職能能對風險管理的效能起重大的作用。例如，紐約證券交易所規定掛牌公司必須設有內部稽核職能，其他幾個交易所也可能跟進，訂定相同的規定。

內部稽核人員置身於中央位置，而且能夠綜觀整個組織，所以在知識分享提案上，扮演不可或缺的角色。許多銳意革新的公司中，內部稽核人員正領導知識分享運動，因為這是高效能的風險管理的先決條件。而會這麼做，是因為他們體認到整個組織的經營流程、風險和管制措施密不可分。假使一家公司面臨10大風險，但只要管理好其中3種風險，就有可能降低另外7種風險發生的機率或者衝擊力道，因此集中風險管理資源在這3種風險上，才是上上之策。

但是各業務單位往往沒辦法綜觀全局，看到風險的大畫面，所以無法判斷應該特別注意哪些風險，以及把資源集中運用到哪些風險的管理上面。專注於已知的風險，並且據此發展因應行動，是人之常情。懂保險知識的人，通常只注意可以投保的風險；精算師和統計人員喜歡把風險量化；策略專家只想到業務流程的重新設計；財務專家高談闊論如何把風險移轉到資本市場；諸如此類，不勝枚舉。公說公有理，婆說婆有理，卻未能完整地處理公司必須處理的所有風險管理問題。內部稽核扮演的是企業的諮詢顧問角色，難得處於極佳的位置，能夠觀察企業經營的全貌。

內部稽核的觀點雖然甚有價值，畢竟只是更廣泛的企業經營活動的一環。沒有一個領域的知識，足以解決現實世界中所有的風險管理問題。企業需要在正式的知識管理系統架構中，分享和協調資訊，以實現企業的風險管理目標。內部稽核人員等企業通識專家，有能力彙總整理資訊，並且運用問題解決技巧，所以可以幫助企業確認攸關重大的系統性風險，卻不致深陷於特定領域中數量龐大的資訊而動彈不得。但是高效能的企業風險管理，需要所有的人員、流程和科技攜手同心，共同篩選過濾、尋找和連結相關的風險資訊。淹沒大部分公司的資訊數量，將來勢必有增無減。

2