風險管理：框架、策略與最佳實務

數位時代已將風險管理的複雜性與重要性提升到前所未有的程度。風險管理在組織中有廣泛的應用，涵蓋資產保護、聲譽與營運穩定性。

網路安全是一個廣泛的術語，指的是用於保護網路、電腦與資料免於未經授權的存取、攻擊或損害的實務與技術。考量到新興的數位轉型與持續增長的網路威脅，網路安全已成為風險管理領域中的關鍵要素。強健的網路安全措施可協助組織降低與資料外洩、網路攻擊及其他形式數位威脅相關的風險。

在這方面，網路安全在風險管理中扮演重要角色。網路安全策略可針對惡意攻擊、內部威脅，以及電腦系統的其他弱點提供相關防禦。以網路安全為導向的風險管理方法，將為關鍵資產提供更多保護，並在發生任何此類網路安全事件時確保營運持續性。本文將帶領讀者了解數個章節內容，包括風險管理的重要性、傳統方法與企業方法的比較、風險管理步驟、計畫制定、標準、最佳實務、AI 在風險管理中的角色，以及風險策略與失敗案例的範例。

什麼是風險管理？

風險管理包括識別、評估與排序風險，接著透過協調一致的努力，將不利事件發生的機率或影響降至最低、加以監控並控制。這是一種管理不確定性的系統化方式，確保組織能在降低潛在威脅的同時達成其目標。

為什麼風險管理很重要？

這之所以重要，是因為組織能夠看見最終可能影響其營運的威脅與弱點所在。主動式的風險管理方法意味著組織可以避免中斷或將其中斷降至最低、減少財務損失，並提升韌性。良好的風險管理實務也有助於就策略制定做出明智決策，並協助組織因應法規要求。

傳統風險管理 vs. 企業風險管理

傳統風險管理通常著重於來自各部門或業務單位的個別風險。它一向採取較偏戰術性的焦點，且通常處理孤立的風險。

相較之下，企業風險管理會從整合的視角考量組織內的所有風險。ERM 將風險管理與策略目標及決策連結起來。它促進以主動方式整合風險管理。

風險管理步驟

1. 識別風險：這是風險管理中最重要的初始步驟之一，涉及識別那些可能影響組織的風險。這通常意味著對內部與外部因素進行深入分析，這些因素可能構成威脅，甚至也可能帶來機會。內部威脅可能包括財務不確定性、營運效率不佳，以及與人力資源相關的挑戰；而外部威脅則可能與市場波動、法規變更、環境條件及地緣政治事件有關。
2. 評估風險：在記錄重大風險後，必須進行評估，以確定其發生的可能性與潛在影響。這也包括針對每項風險檢視其發生機率以及後果的嚴重程度。此類評估可採用定性或定量方式進行，其中專家判斷屬於前者，而統計模型屬於後者。風險評分有助於根據風險發生的可能性與影響為每項風險設定分數，從而進行優先排序。
3. 制定策略：在分析風險後，需要根據組織情況制定策略。這可能包括制定緩解計畫、轉移風險、接受風險，或避免風險。為了降低已識別風險的發生機率或影響，會採取緩解措施。也會針對自然災害或供應鏈中斷等突發事件制定應變計畫，包含詳細的行動步驟與資源配置。
4. 實施措施：正是在此階段，已制定的風險管理策略會被實際付諸執行。此步驟可確保規劃的措施獲得妥善執行，並使資源得到有效運用。此階段涉及的活動包括部署支援風險管理策略所需的財務資源、人力資源與技術資源。培訓與認知宣導計畫在教育員工了解風險管理中所採取的措施、相關程序，以及員工在風險管理中的角色方面，變得非常重要。
5. 監控與審查：風險管理不是一次性的活動，而是一個持續性的流程。必須持續監控與審查策略，以確保其維持有效且具相關性。定期監控應包括監控風險以及緩解措施的有效性，以掌握任何變化或新風險。應根據新資訊、風險環境的任何變化，或組織變更來更新風險評估與策略。回饋機制的貢獻非常重要，因為它有助於取得有關風險管理策略績效的資訊，並找出需要改進之處。

風險管理標準與框架

有數項標準與框架可指引風險管理的最佳實務。其中一些廣為認可的包括：

• ISO 31000：ISO 31000 是一項國際標準，全面指導如何建立風險管理框架與流程。它強調風險管理應嵌入組織的整體治理、流程與決策之中。此標準描述了一套風險管理流程，其中包括風險管理政策的實施、風險評估的程序，以及風險處置的方法。ISO 31000 可適用於任何規模、產業與性質的組織，旨在協助此類組織識別、評估與管理那些能支持組織目標並提升其韌性的風險。
• NIST 風險管理框架: 由美國國家標準與技術研究院制定的 NIST RMF 所定義之有組織流程，說明了如何管理資安風險。RMF 用於協助進行風險評估與緩解，提供注重細節的指引，並輔以針對資安威脅的持續監控。它描述了一套流程：資訊系統分類、安全控制措施的選擇與實作、此類控制措施有效性的評估、相關風險的管理，以及對系統進行持續監控以發現潛在弱點。此框架對於需要符合 NIST 規範的機構相當實用，可引導其遵循聯邦資訊安全相關法規與標準，並確保資安措施足以符合組織的風險承受度與營運需求。
• COSO ERM 框架: 由發起組織委員會（Committee of Sponsoring Organizations）制定的 COSO 企業風險管理框架，將策略規劃與風險管理中的決策制定加以整合。它提供一套完整的框架內容，用於管理組織內部的風險，以確保風險管理與既定的策略目標與宗旨保持一致。此框架以治理組成要素為主，包括風險治理、風險評估、風險回應與監控。COSO ERM Framework 協助組織以支持達成策略目標、強化決策制定並提升績效的方式識別與管理風險。它在整個組織中培養風險意識與問責文化，確保風險管理成為組織流程的一部分。

如何建立並實施風險管理計畫？

建立與實施風險管理計畫涉及從啟動到結束的數個步驟。其中一些主要步驟包括：

1. 定義目標：設定目標或許是制定風險管理計畫的第一個重要步驟。這些目標應與組織的整體策略目標一致，從而為風險管理工作提供明確方向。設定目標的前提是了解組織的使命、願景與長期規劃，以及風險管理如何支援這些面向。
2. 識別並分析風險：在識別目標之後，下一步是識別並分析那些可能影響組織的風險。必須仔細考量可能引發威脅或機會的內部與外部因素。風險識別可透過腦力激盪會議、風險評估、專家諮詢以及過往紀錄分析來進行。接著應分析已識別風險的發生機率與影響。
3. 制定風險緩解策略：在識別與分析風險之後，接著將制定風險緩解策略。也就是透過規劃來處理每項已識別風險，納入可降低風險發生可能性的預防措施，以及在風險實際發生時的應變計畫。舉例來說，如果公司將供應鏈中斷視為一項風險，緩解策略可能是供應商多元化或提高庫存水位。
4. 實施計畫：一旦風險緩解策略制定完成，下一步就是透過執行這些策略來實施風險管理計畫。這應透過資源配置來完成，包括對計畫提供財務、人力與技術支援。對員工進行其在風險管理框架內角色與責任的培訓也很重要，以確保所有員工都已準備好有效行動。
5. 監控與審查：這是一個持續性的流程，也需要持續監控並檢視其有效性。也就是說，它涉及定期追蹤已識別的風險、緩解策略的執行情況，以及在必要時採取變更。監控必須具備動態性，才能讓組織注意到新風險的出現，進而促使進行必要的調整。此外，經常檢視風險管理計畫也非常重要，以確保該文件在持續變化的商業環境中保持相關性與有效性。

強健風險管理方法的效益

強大的風險管理方法可帶來許多效益；其中包括以下幾點：

1. 強化決策：透過強健的方法，組織做出決策的方式將大幅提升。藉由有條理地識別、評估與管理風險，組織可以對潛在挑戰與機會形成深入洞察。這使領導層能根據組織的策略目標做出明智決策，並認知每個替代方案所附帶的風險。
2. 提升韌性：使用高效風險管理系統所帶來的另一項重大效益，與提升組織韌性有關。適當的風險管理可提高組織抵禦並從營運故障、網路攻擊、自然災害及其他突發事件等中斷情況中復原的能力。成功的風險管理遠不只是識別潛在威脅；還需要制定涵蓋應變策略的計畫，以將其影響降至最低。
3. 法規遵循：結構化的方法可協助組織滿足法規遵循要求。多數產業都面臨嚴格法規，要求組織展現有效的風險管理實務。透過遵循既定的風險管理標準與框架，例如 ISO 31000 或 NIST Risk Management Framework，組織可以確保其符合這些法律與監管義務。
4. 財務保護: 主動式風險管理對於維護組織良好的財務健康狀況具有高度關鍵作用。這是透過在風險成為重大問題之前，提前充分識別並降低風險來實現的。如此一來，組織可降低因不可預見情況而遭受損失的可能性。例如，有效的風險管理可能意味著公司可避免供應鏈中的高成本中斷、防止與資安外洩相關的數百萬美元損失，或降低市場中的負面波動。

克服風險管理中的常見挑戰

組織有時會在風險管理中面臨以下挑戰：

• 資源不足：組織在風險管理本身所面臨的最大風險之一，就是資源不足。其次，健全的風險管理計畫需要在多個面向投入大量資源——時間、金錢與專業能力。許多較小型的組織難以提供足夠資源來建立與維護風險管理計畫。這種情況可透過依據潛在影響對風險進行優先排序，然後將有限資源投入最關鍵的領域，在某種程度上加以緩解。
• 複雜的風險環境：不斷演變且日益複雜的風險環境，為組織帶來另一項重大挑戰。當代企業面臨的風險性質十分廣泛，涵蓋營運風險，以及網路安全、新興領域、供應鏈中斷與全球經濟不穩定等面向。快速變化的技術與全球化進一步加深了這種複雜性；多數組織都在艱難地辨識所有潛在威脅，更遑論加以管理。
• 對變革的抗拒：導入新的風險管理實務或技術時，往往會遭遇阻力，因為人們通常相當抗拒改變既有做事方式。無論是員工還是管理層，通常都不太願意改變原有作法，尤其當這些變更涉及需要學習的新流程或系統時更是如此。這可能源於對風險管理效益缺乏理解、對未知的恐懼，或只是單純偏好一切維持原樣。

風險管理最佳實務

本節探討一些可用於提升組織風險管理成效的最佳實務。其中一些最佳實務包括：

1. 將風險管理整合至策略規劃：風險管理的一項最佳實務，可能就是將其整合至組織的策略規劃中。這表示風險管理活動不是獨立存在的項目，而是更廣泛組織目標與宗旨的一部分。這有助於組織做出能進一步支持或補強其策略倡議的風險管理決策。
2. 培養風險意識文化：另一項關鍵最佳實務，是在組織內建立風險意識文化。簡單來說，這表示各層級員工都會參與辨識、通報，以及對任何可能風險承擔責任的適當流程。當組織具備風險意識文化時，員工更有可能保持警覺，並主動採取措施，在問題演變成重大事件之前先行發現。
3. 善用技術：現代風險管理大多涉及善用先進工具與技術。應用技術的能力可大幅提升更快速辨識、評估及管理風險的能力。例如，資料分析平台可檢視大量資訊，以識別不易察覺、但顯示風險存在的情境。
4. 定期檢視並更新風險管理計畫：在風險管理最佳實務中，定期檢視與更新風險管理計畫是其中之一。風險概況會隨時間改變。定期檢視可讓策略得以修訂，使其持續符合當前風險並具備應對能力。這不僅表示更新風險評估，也包括檢視緩解策略，以及在適當情況下檢視應變計畫。

AI 可如何用於風險管理？

AI 可透過以下方式成為風險管理的改變者：

• 預測分析：AI 已開始透過預測分析大幅改善風險管理。它會檢視大量歷史與即時資料中的模式、趨勢與關聯性，以顯示特定風險發生的可能性。藉由這些洞察，組織能更準確地預測未來風險發生的機率，並提前採取控制措施，在風險發生前加以預防。
• 自動化風險評估：  由 AI 驅動的工具可透過提供即時洞察，自動化風險評估流程，並將人工評估風險所需的投入降至最低。自動化風險評估流程包括對資料執行 AI 演算法進行分析、計算風險發生的可能性與影響，然後為這些風險計算分數或排名。
• 強化威脅偵測：在網路安全領域中，AI 在威脅偵測方面扮演極為重要的角色。傳統的安全威脅識別技術依賴預先定義的規則與模式，因此在偵測新型或複雜攻擊時效率非常有限。另一方面，AI 會分析大量網路流量、使用者行為與系統日誌，以辨識可能源自安全性外洩的異常情況。
• 決策支援：AI 也可透過運用資料、提出建議以及進行情境分析來協助決策。AI 系統會處理大量資料、評估多項風險因素，並建立情境模型，以支援特定政策決策，清楚呈現所採取行動可能帶來的結果。

風險管理的限制與失敗案例

儘管風險管理很有幫助，但仍有其不足之處：

• 不完整的風險識別：風險管理中的主要風險之一，在於識別不夠全面。即使已盡可能周全，組織有時仍無法辨識所有潛在風險，尤其是那些較不明顯或仍在浮現中的風險。這也可能是由於資訊不足、有時疏忽，或某些風險本質上難以預測所致。
• 過度依賴工具：風險管理實務普遍面臨的另一項限制，是過度依賴工具與技術來進行自動化。雖然這確實能提升風險管理流程的效率與成效，但若在缺乏適當人工監督的情況下過度依賴，也可能造成問題。
• 未能適應變化：若風險管理策略未隨條件變化而調整與更新，便可能過時，進而對其有效性造成重大限制。風險發生的環境是動態的，技術進步、法規變更與市場條件等因素，會持續帶來新的威脅與機會。若組織的風險管理策略一成不變，便可能無法因應這些不斷演變的風險。

失敗案例：

• Equifax 資料外洩事件:  風險管理不善最重大的案例之一，或許就是 2017 年 Equifax 的資料外洩事件。2017 年，美國最大的信用報告公司之一 Equifax 遭遇安全性外洩，導致 1.47 億人的個人資料曝光。事實上，這起事件是由於 Equifax 的疏忽所致，未能修補其軟體中已知的漏洞，而該安全性修補程式在外洩發生前數個月就已可取得。這種未能及時識別並降低風險的失誤，造成了巨大的財務損失、監管罰款，以及對 Equifax 聲譽的嚴重損害。這顯示出主動式風險管理的迫切必要性，尤其是在網路安全領域。
• Target 網路攻擊事件：Target 於 2013 年的資料外洩事件凸顯了風險管理不善的後果。Skimmers 入侵了 Target 的網路，並在假期期間竊取了 4,000 萬張信用卡與金融卡的資料。此事件被歸因於早期預警偵測、早期回應的失敗，以及不良的風險管理實務。這次入侵為 Target 帶來了嚴重的財務與聲譽損失，其影響也傳達出一項重要訊息：必須警覺地監控風險，並及時採取行動以因應新興威脅。

風險管理策略範例

採用風險管理策略的一個良好範例，是美國最大金融機構之一 JPMorgan Chase 如何嘗試克服網路安全威脅。這個龐大的金融網路透過其全面性的風險管理策略，識別可能危害網路的網路風險，包括網路釣魚攻擊、勒索軟體與內部威脅。

接著會根據這些風險發生的機率，以及它們可能對組織在營運與聲譽兩方面造成的影響來進行評估。

為控制這類新興風險，JPMorgan Chase 已制定並採用多種方法；例如，部署先進安全技術、定期為員工進行網路安全訓練計畫，以及建立強大的事件回應流程。它也大力投資於監控系統，通常會掃描任何可察覺的威脅，以便立即發現並處理所有可疑情況。

此外，JPMorgan Chase 也經常修訂其風險管理策略，持續更新，以在出現新興威脅時維持適當的策略。

結論

有效的風險管理可讓組織具備能力，應對當今風險日益複雜的商業環境。健全的架構、更完善的策略以及對最佳實務的遵循，最終將使組織達成兩大目標：第一，防範即將到來的威脅；第二，確保長期穩定。

此方法的關鍵原則包括導入先進技術，以提升風險識別與快速緩解能力，以及建立風險意識文化，使所有員工都了解自己在風險管理中的角色。

簡而言之，除了這兩項初始步驟之外，持續監控與定期稽核也是必要的，以發現新興風險，並確認現有控制措施是否仍有效運作。主動式回應計畫可讓組織在發生意外事件時迅速且有效率地應對，將潛在損害降至最低。