董事会不直接负责风险管理，风险管理由管理层负责。但是董事会需要确认管理层有效地、主动积极地、持续不断地履行了此种责任。但是，已在这方面建立规范化过程的公司是凤毛麟角。许多风险是临时发现的，但经常发现得很及时。这种临时确认风险的方法是不够的，因为发现重大风险时常常已为时过晚，而且结果是灾难性的。比如，相信其公司正在采取简单的套利方式来防范主要汇率或其他利率波动的董事会一直没有意识到还有巨额的资金没有得到任何风险防范，等到他们醒悟过来时，一切都已晚了。董事会不知道公司的销售做法有误，不知道新兴竞争对手生产的新产品就要瓜分市场份额，更不知道公司已痛失新的大有利润可赚的渠道和市场机遇。
　　那么，董事会的主要责任是什么?
　　首先，确保公司已建立有效的过程来确认风险，根据一系列的假设来衡量其潜在影响力、并开展必要的积极管理工作。
　　其次，董事会应确知最重大的风险是什么，并决定分别采取什么措施。
　　事实上，董事会更为重视第二种责任。董事们经常向管理层询问关键风险，并经常讨论计划或已采取的措施。然而，如果董事们对公司揭示风险的能力没有信心，他们不可能保证所有的关键风险都得到了讨论。只有部分董事关注管理层事先发现风险和处理重大风险的程序。
　　某公司的一位董事感到遗憾的是，“我们董事会不是以系统广泛的方式处理风险，不关注与战略、文化、人相联系的整个风险环境”。另一董事也发表了相同的看法：“管理层倾向于有选择地报告风险，董事们必须警惕管理层遗漏的内容。我们必须了解影响公司长期成功的问题。”