董事会。商业银行应由董事会负责制定声誉风险管理政策、建立声誉风险管理体系，承担声誉风险管理的最终责任。