補償

補償（Compensation）是指因特定風險事件導致損害時，由責任方向受損方進行的對價支付。其法律根源在於民法上的損害賠償責任，而企業風險管理框架中，補償被視為風險處理（Risk Treatment）的核心工具。根據ISO 31000:2018第6.6.2條「風險處理」的定義，補償是降低殘餘風險的重要手段。值得注意的是，補償與賠償（Indemnity）在法律上有細微差異：賠償通常指填補實際損失，而補償有時包含懲罰性或慰撫性性質。在企業治理中，有效的補償機制需符合「公平性、適當性、可預測性」三原則，以確保企業在發生環境污染、個資外洩或職業安全事故時，能迅速履行義務，避免法律訴訟升級。台灣《民法》第184條及第191條提供了損害賠償的法律基礎，而企業應在風險矩陣中預先量化潛在補償金額，以確保財務準備充足。

實務應用通常遵循「識別、量化、執行」三步驟。第一步：風險識別與法律盤點。企業需依據ISO 31000第6.4.2條進行風險識別，盤點所有可能觸發補償義務的場景，包括環境污染、數據外洩、供應鏈中斷等。第二步：量化潛在補償金額。企業應參照台灣《民法》第221條至第230條關於損害賠償範圍的規定，結合精算模型估算最大可能損失（PML）。例如，GDPR第82條規定資料主體有權獲得補償，企業需預估每筆資料外洩案件的平均賠償金額。第三步：建立補償機制與保險對沖。企業可透過職業災害保險、環境污染責任險、董事及高階主管責任保險（D&O Insurance）來轉移補償風險。根據OECD原則，企業應建立透明的補償程序，確保受損方能以可預測的流程申請賠償，而非等待訴訟程序。

台灣企業在導入補償機制時面臨三項主要挑戰。第一項是法規多元性挑戰：台灣同時適用民法、行政法、勞動基準法及特定產業法規（如溫室氣體排放量申報），企業難以建立統一的補償計算標準。對策是建立「法規合規矩陣」，將各法規對應的補償義務分類管理。第二項是財務準備的挑戰：許多中小企業缺乏預算預留補償金，導致發生事故時現金流出現問題。對策是導入風險轉移工具，如強制性保險與自留風險基金（Self-Insurance Fund）並行模式。第三項是數據與證據鏈的挑戰：在個資外洩或環境污染案件中，受損方舉證困難，企業若無法主動建立事件調查與證據保存機制，將面臨法律不確定性。對策是依據ISO 27701個資管理標準建立事件應變流程，確保調查過程具備法律效力。

補償機制直接關聯多項國際標準與法規。ISO 31000:2018提供了風險處理的系統性框架，而ISO 31000第6.6.2條明確將風險處理（包括風險轉移與補償）列為必要步驟。GDPR第82條規定資料主體因處理者違反法規而遭受損害時，有權獲得補償，這對處理歐盟個人資料的台灣企業具有直接法律約束力。此外，OECD原則IV「環境責任」強調污染者應負賠償責任，與台灣《溫室氣體排放量申報及查驗辦法》相呼應。在職業安全領域，ILO第155號公約要求雇主對職業安全衛生事件負賠償責任。企業應定期檢視這些國際規範的最新修正，以調整其風險矩陣中的補償預算與保險覆蓋範圍。