企業風險管理－整合框架

Enterprise Risk Management-Integrated Framework（以下簡稱COSO ERM）是由美國企業委託委員會（Committee of Sponsoring Organizations of the Treadway Commission）於2004年發布的風險管理框架。它超越了傳統的單一風險識別概念，強調風險管理必須與企業的策略目標和績效指標（KPI）整合。COSO ERM框架由五大核心要素組成：治理與文化（Governance & Culture）、策略與目標設定（Strategy & Objective-Setting）、績效（Performance）、審閲與修正（Review & Revision）、溝通與報告（Information & Communication）。相較於ISO 31000的通用性，COSO ERM更強調風險與策略的連結性，特別適用於需要向董事會和股東報告的上市公司。臺灣《公司法》第266條及《證券交易法》第266條之1均要求公司應建立內部控制制度，COSO ERM正是滿足這些法規要求的最佳實務架構。

實務應用可分為三個階段：第一階段為「策略整合」，企業需將風險偏好（Risk Appetite）定義為量化指標，例如：單一交易損失不得超過淨利2%、資訊安全事件年發生率低於0.1%等。第二階段為「風險評估與應對」，透過風險矩陣（Risk Matrix）評估殘餘風險，並對每個風險選擇規避、降低、轉移或接受策略。第三階段為「績效監控」，建立KRI（關鍵風險指標）與KPI的對應機制。以臺灣製造業為例，某電信設備廠導入COSO ERM後，透過KRI預警機制，將供應鏈中斷風險的應變時間縮短了35%，同時因風險矩陣的導入，年度稽覈發現的重大合規缺失減少了40%。這些數據直接反映了風險管理從「被動應對」轉向「主動預防」的成效。

臺灣企業導入COSO ERM主要面臨三個挑戰。首先是「文化抗拒」：許多中小型企業將風險管理視為合規負擔而非價值驅動工具，建議透過高階主管的公開承諾與績效掛鉤來改變認知。其次是「數據孤島」：各部門風險數據未整合，導致風險矩陣失真，應導入統一的風險管理資訊系統（GRI 2-24 揭露要求）。第三是「人才不足」：缺乏兼具風險量化能力與業務知識的複合型人才。建議採取「外部專家輔導+內部人才培育」雙軌模式，初期由外部顧問建立框架，中期透過職訓與認證（如FRM、COSO ERM證照）培養內部團隊。預計導入期為6-12個月，第一年建立框架，第二年實現量化管理，第三年達成持續改善循環。