慢性不可預測性壓力模型

CUMS（Chronic Unpredictable Mild Stress Model）源自神經科學研究領域，指透過每日變更、不可預測的輕微壓力因子（如光照時間改變、聲音干擾、體位改變等）來建立動物抑鬱模型。此模型用於研究壓力對神經系統的衝擊機制。在企業風險管理（ERM）領域中，CUMS被借用為「壓力情境設計」的類比方法，用於評估組織在面對多重、非線性、持續性中斷風險時的韌性。根據 ISO 31000:2018 的風險識別原則，風險情境必須具備「不可預測性」與「持續性」特徵，CUMS的設計邏輯與此高度一致。與傳統單一事件風險（如地震、火災）不同，CUMS模擬的是複合型、漸進式侵蝕組織能力的風險，這在現代企業的業務持續管理中更具參考價值。台灣企業應將此概念轉化為「複合風險情境」的設計工具，而非僅依賴歷史事件數據。

CUMS的應用需依 ISO 31000:2018 的風險評鑑流程進行系統化設計，具體步驟如下：第一步，情境識別。依據 ISO 31000 第 6.4.2.2 條「風險描述」要求，建立多重、交疊的風險情境組合，例如同時發生供應鏈中斷、關鍵人員流失與法規變更。第二步，壓力測試。採用 ISO 22301 業務持續管理系統的壓力測試方法，將這些複合情境套入現有控制措施，評估控制措施在持續壓力下的失效臨界點。第三步，韌性校準。根據 ISO 22301 第 8.4 條「業務衝擊分析」的結果，調整資源配置以確保關鍵業務功能在複合壓力下仍能維持最低服務水準。此過程需以量化指標（如 RTO、RPO）作為評估依據，而非僅依主觀判斷。

台灣企業導入複合風險情境設計面臨三個主要挑戰。首先是「數據孤島」問題：多數台灣企業的風險數據分散於 IT、HR、法務等不同部門，無法整合為複合情境。建議依 ISO 31000 第 6.6 條「風險溝通與諮詢」建立跨部門風險數據平台。其次是「靜態風險矩陣」的侷限：傳統風險矩陣僅考量發生機率與衝擊程度，無法反映壓力累積效應。應導入動態風險情境模擬工具，依 ISO 31000 第 6.4.3 條進行風險評估。第三是「資源分配優先順序」爭議：董事會往往只承認可量化的財務風險。建議將複合風險情境與業務衝擊分析（BIA）結合，以具體業務中斷損失數據說服決策層投入資源。依台灣《公司法》第 26600 條之規定，董事會應建立風險管理機制，此類複合情境設計正是其法定義務的具體實踐。

CUMS概念在企業風險管理中直接對應 ISO 31000:2018 的風險情境建立原則與 ISO 22301:2019 的業務持續管理要求。ISO 31000 第 6.4.2.2 條明確要求風險情境需涵蓋多種情境，包括複合情境；ISO 22301 第 8.2 條則要求組織必須識別可能影響業務持續的威脅情境。此外，歐盟 NIS2 指令（Directive (EU) 2022/2555）要求關鍵基礎設施提供者進行系統性威脅建模與壓力測試，其邏輯與CUMS的複合壓力設計高度相通。台灣企業若有歐盟業務往來，需依 NIS2 要求建立符合複合風險情境評估的資安韌性管理機制。