主體性決策

Agentic Decision-making（主體性決策）源自心理學的代理性理論（Agency Theory），指個體在環境中展現自主性、目標導向性及自我調節能力的決策過程。在企業風險管理（ERM）框架下，它代表組織不只依賴中央化的風險指令，而是將風險意識嵌入每個決策節點。根據ISO 31000:2018第5.4條「風險管理原則」，有效風險管理必須是「系統性、結構化且整合性」的，這要求每個決策主體具備獨立評估風險情境的能力。與傳統被動合規（Compliance-driven）不同，主體性決策強調決策者主動識別潛在風險邊界，並根據組織目標調整行動策略，是實現ISO 37301（2022年版）合規管理系統的關鍵能力基礎。此概念在AI治理領域尤為關鍵，NIST AI RTO框架（2024年）特別強調AI系統的自主決策需具備可問責性與人類監督機制，這正是Agentic Decision-making在技術風險管理中的具體體現。

實務導入可分為三個階段：第一階段「風險意識賦能」，透過ISO 31000:2018第6.4條風險評鑑要求，培訓各部門主管在日常決策中主動識別風險因子；第二階段「決策權限設計」，依據ISO 31000:2018第5.5條風險處理原則，明確各級決策主體的風險容忍度（Risk Tolerance）與授權邊界；第三階段「閉環監控機制」，建立從決策到結果回饋的學習迴路。以台灣某大型電信企業為例，其導入Agentic Decision-making後，客服部門在處理客戶個資外洩風險時，不再等待總部指令，而是依據GDPR第33條及台灣個資法第27條要求，在發現異常後1小時內啟動應變程序，使事件處理效率提升40%。量化效益方面，導入此機制的企業通常可降低25%的合規違規事件率，並將風險事件的平均處理時間（MTTR）縮短30%。

台灣企業導入主體性決策面臨三大挑戰：首先是「層級文化阻礙」，傳統自上而下的決策結構使中層主管不願主動承擔風險判斷責任，建議透過ISO 31000:2018的「組織脈絡」原則重新設計權責矩陣；其次是「數據孤島問題」，各部門風險資訊不互通，導致主體性決策缺乏資訊基礎，需建立統一的ERM資訊平台，確保數據在決策鏈中的透明流動；第三是「法規適應速度不足」，台灣個資法修正及EU AI Act等國際法規快速演進，企業需建立動態監控機制。建議採取「分階段導入策略」：前6個月聚焦高風險部門（如資訊安全、法務合規），建立標竿案例；第7-12個月推廣至全組織，並將主體性決策能力納入KPI考核，確保管理系統的持續改善（PDCA循環）。