COSO 企業風險管理：整合策略與績效 (2017)

COSO ERM 2017，全名為《企業風險管理：整合策略與績效》，是美國反虛假財務報告委員會贊助組織（COSO）於2017年發布的更新框架，旨在取代2004年的版本。此框架的核心精神是將風險管理與企業的策略制定及日常績效管理緊密結合。它包含五大相互關聯的組成要素：治理與文化、策略與目標設定、執行、審視與修正、以及資訊、溝通與報告，並展開為20項原則。相較於ISO 31000:2018提供風險管理原則與通用指引，COSO ERM 2017更強調風險如何影響策略目標的達成，並將風險偏好（Risk Appetite）與策略連結。在台灣，金管會發布的《公開發行公司建立內部控制制度處理準則》即參考COSO框架精神，要求企業建立有效的內控與風險管理機制，使此框架成為台灣企業強化公司治理與決策品質的重要實務依據。

企業應用COSO ERM 2017的實務步驟始於將風險管理融入策略核心。第一步為「策略與目標設定」，董事會需明確定義企業的風險偏好（Risk Appetite），確保營運策略與之對齊。例如，一家高科技製造商設定其供應鏈中斷的風險容忍度為不超過5%。第二步為「執行」，企業需系統性地識別、評估及應對可能影響策略目標的風險。前述製造商可透過供應商多元化、建立安全庫存等措施來降低斷鏈風險。第三步為「審視與修正」，需定期監控風險概況與應對措施的有效性，並根據市場變化進行調整。透過導入此框架，企業可實現量化效益，例如，某金融機構導入後，其關鍵風險指標（KRI）的預警準確度提升了40%，並使年度內部審計的重大缺失項目減少了25%，顯著強化了營運韌性與決策品質。

台灣企業導入COSO ERM 2017時，主要面臨三大挑戰。首先是「文化挑戰」，許多企業仍將風險管理視為稽核或財會部門的孤立職能，而非全員責任，導致風險意識薄弱。其次是「資源限制」，特別是中小企業在建置專業風險管理系統與培育人才方面預算有限。第三是「策略連結薄弱」，風險評估結果常未能有效融入高階管理層的策略決策過程，使其流於形式。為克服這些挑戰，建議採取以下對策：針對文化問題，應由董事會發起，建立由上而下的風險治理文化，並將風險管理績效納入考核。對於資源限制，可採用分階段導入方式，優先管理關鍵風險，並考慮導入成本較低的雲端風險管理工具。為強化策略連結，應將重大風險討論納入年度策略規劃會議的標準議程。優先行動項目是成立跨部門風險管理委員會，預計在6個月內完成初步的風險盤點與文化宣導。