商业银行董事会或高级管理层应当评估、审查表外业务的重大风险管理政策和程序，掌握表外业务经营状况，对表外业务的风险承担最终责任