蝴蝶圖分析法

Bow Tie Analysis（蝴蝶圖分析法）是一種以風險事件為核心的視覺化風險評鑑工具，其結構形似蝴蝶：左側為「威脅（Threats）」向風險事件發生的路徑，右側為風險事件向「後果（Consequences）」發展的演進。此方法源自航空安全領域，現已廣泛應用於核能、石油氣及金融風險管理。根據ISO 31000:2018第6.4.2條「風險評鑑（Risk Assessment）」的原則，Bow Tie Analysis提供了一個結構化的框架，將風險因果關係顯性化，使風險控制措施（Controls）的設計與驗證更具邏輯性。相較於傳統風險矩陣（Risk Matrix）僅提供風險等級評等，Bow Tie Analysis進一步要求識別控制措施的有效性，確保每個控制點（Control Point）都能有效阻斷風險路徑，是達成ISO 31000「風險處理（Risk Treatment）」要求的關鍵工具。

實務應用通常分為四個階段：第一步，定義風險事件（Hazard/Event），這是蝴蝶圖的中心點；第二步，識別所有威脅（左側因果鏈）與後果（右側因果鏈），並評估其發生機率與衝擊程度；第三步，針對每條路徑設計控制措施（Controls），包括預防性控制（左側）與緩解性控制（右側）；第四步，評估現有控制措施的有效性，並識別缺口（Gaps）。以台灣製造業為例，某電信設備廠在導入ISO 22301業務持續管理體系時，使用Bow Tie Analysis識別關鍵電信設備故障的威脅（如：電力中斷、網路攻擊）與後果（如：服務中斷、客戶索賠），並對應設計備用電源與異地備份機制。導入後，該廠將關鍵風險的控制措施覆蓋率從60%提升至95%，並在2023年年度稽核中達成100%合規率，風險事件發生率降低40%。

台灣企業導入Bow Tie Analysis常見三大挑戰：首先是「跨部門協作障礙」，風險因果鏈往往涉及多個部門，導致責任歸屬模糊，建議透過建立跨功能風險治理委員會（Risk Governance Committee）來解決。其次是「數據品質不足」，特別是量化威脅發生機率的困難，建議採用NIST SP 800-30的量化方法論，結合歷史數據與專家判斷進行初步量化。第三是「控制措施重複或缺失」，企業常在同一風險路徑上重複配置相似控制措施，建議建立控制措施目錄（Control Library）並定期進行有效性驗證（Control-Effectiveness Testing）。建議企業在導入前6個月完成現有風險控制盤點，第7-12個月建立標準化Bow Tie模板，並在一年內達成關鍵風險控制措施100%覆蓋率目標。