大多数企业现在都已接受风险管理理念，但要组建一支能够承担这一职责的强大、专业的团队，关键在于找到合适的专家组合。
日益复杂的网络威胁可能使企业收益受挫，这要求防御团队能够识别、评估并控制这些不断升级的干扰因素。
加密货币交易所币安近期遭遇的黑客攻击不仅导致63亿美元数字资产被盗，还引发客户至少提取30亿美元的自有资产。这次结合了社会工程学和虚假求职面试手段的攻击，凸显了企业高层技术领导者需要组建多元化风险管理团队的必要性。
例如，为多家中端市场企业提供兼职CIO服务的克里斯·麦格拉森表示，他有意让团队保持精简且跨职能。"我希望团队中有人负责安全，有人负责基础设施和备份，财务部门有一位合作伙伴，运营部门有一位负责人。"他说道。
寻找合格的候选人
卡内基梅隆大学海因茨学院首席风险课程讲师保罗·齐克蒙德表示，有效的IT风险管理团队不能作为一个孤立的技术小组运作；它必须作为一个与企业风险管理直接对齐的、跨学科的综合委员会来运作。
他表示："虽然核心IT运营、基础设施、架构和信息安全负责人在基础层面至关重要，但团队还必须延伸至关键业务利益相关者。"
齐克蒙德说，IT风险很少局限于服务器机房或云环境内。"纳入业务部门负责人可以确保团队基于运营影响而非在真空状态下管理技术漏洞来评估风险。"他补充道，一个高效的IT风险团队不是一个IT委员会，而是一个治理机构，在这个机构中，技术、运营、法律和财务负责人共同承担数字风险概况的责任。
联络中心和统一通信公司8x8的首席技术官布莱恩·马丁表示，寻求外部合作伙伴总是一个好主意，但大多数领导者在这方面行动得太晚。
他警告说："多年来一直在防御同一系统的人，会逐渐看不到其中的漏洞。"他补充道，"比简历更重要的是，他们能否与工程师坐下来深入探讨一个真实的系统，而不只是向董事会展示幻灯片。"
麦格拉森表示，让财务部门的成员加入团队是不容商榷的，因为每一个风险决策本质上都是一个业务决策。同时，运营团队成员也必须参与其中，因为他们清楚哪些系统是维持业务正常运转真正必需的，而这并不总是架构图所展示的内容，他说。同样重要的是，必须有人负责管理供应商。
麦格拉森说："无论你是否主动管理它们，你的管理服务提供商和云服务提供商都是你风险面的一部分。"
医疗IT、数据和安全公司Focus的首席技术官马克·斯特尼格表示，内部人员对环境了如指掌，这固然有价值，但这也是一个盲点，因为他们已经悄然学会了与那些在新人眼中第一天就会被标记出来的风险共处。
他指出："外部招聘人员，或者外部合作伙伴，能够带来模式认知方面的经验。"他说，"他们在许多其他组织中见过类似情况出错，因此能够捕捉到你自己团队已经不再注意的早期预警信号。"
风险团队的盲点
格鲁吉亚银行前副CIO、现为伦敦一家为银行和金融科技公司提供咨询服务的Conceptdigital公司CEO滕戈·梅斯基表示，IT领导者在组建风险管理团队时犯的最大错误是低估了人的因素。格鲁吉亚银行是该国最大的银行。"结果，大多数团队的建设目标是防御外围边界及其系统，几乎没有任何部分是用来保护人员的。"
他指出，社会工程学和网络钓鱼可以直接穿透一个技术上健全的防御体系，而大多数团队很少包含专门测试和培训可能成为攻击目标的员工的职位。他补充道，风险登记册需要增加一个关于人员的条目，团队需要有人专门负责这一项，因为这往往是最容易被利用的漏洞。
明确风险归属
麦格拉森建议，在风险管理团队中指定一位负责人，由这一个人负责风险登记册、审查周期以及那些令人不适的对话。
他说："最大的风险不是缺少某项控制措施，而是风险在IT、财务和运营之间游移不定，却不属于任何人。一旦这个职位有人填补，其他职责就会变得更容易处理。"
齐克蒙德警告说，组建IT风险团队最终可能失败的原因是无意中创造了一个技术真空地带。"一个成功的团队必须说业务的语言，与中央企业风险管理职能部门紧密协作，并通过企业韧性和战略连续性的视角来评估每一项技术风险。"
