ISO 31000 風險評鑑

ISO 31000 風險評鑑是國際標準 ISO 31000:2018《風險管理 — 指引》中定義的核心流程，旨在為風險處理決策提供資訊基礎。它由三個連續的子流程組成：(1) 風險識別：尋找、辨識並描述可能影響目標達成的風險來源。(2) 風險分析：深入理解風險的性質，並透過分析其後果（Consequence）與可能性（Likelihood）來決定風險等級（Level of Risk）。(3) 風險評估：將風險分析的結果與預先建立的風險準則（Risk Criteria）進行比較，以判斷該風險是否需要處理以及處理的優先順序。此流程並非一次性活動，而是一個反覆迭代的過程，確保組織能動態應對內外部環境變化。它與「風險管理」不同，風險評鑑是風險管理框架中的一個關鍵環節，而風險管理還包含建立框架、風險處理、監測與審查等更廣泛的活動。

企業應用 ISO 31000 風險評鑑通常遵循以下步驟：(1) 建立評鑑框架與準則：首先，根據公司策略目標與風險胃納，定義風險的後果與可能性等級，並建立風險矩陣（Risk Matrix）作為評估工具。例如，將財務衝擊分為五個等級（從低於100萬到超過1億），可能性也分為五級（從極罕見到幾乎確定）。(2) 執行跨部門風險評鑑：定期召集各部門（如營運、財務、法務）舉行工作坊，系統性地識別其業務範圍內的風險，並利用已建立的風險矩陣進行分析與評估，產出風險清冊（Risk Register）。(3) 整合決策與風險處理：將高優先級風險的評鑑結果提交至風險管理委員會或董事會，作為制定風險處理計畫（如採取內控措施、購買保險、外包業務）的依據。台灣某半導體大廠即透過此方法，識別出供應鏈中斷的重大風險，並採取供應商多元化策略，成功將潛在斷鏈損失降低約25%，並提升了客戶稽核的通過率。

台灣企業導入 ISO 31000 風險評鑑時，常見三大挑戰：(1) 資源與專業不足：許多中小企業缺乏專職的風險管理團隊與預算，難以系統性地推動評鑑工作。對策是採用分階段導入法，初期專注於核心業務的關鍵風險，或尋求外部顧問，利用其專業工具與經驗，在有限資源下快速建立基礎框架。(2) 數據品質與可用性問題：準確的風險分析仰賴高品質的歷史數據，但許多企業缺乏完整的事件紀錄與數據收集機制。對策是初期可採用質化評鑑方法，如專家訪談與情境分析，同時建立關鍵風險指標（KRI）的追蹤機制，目標在6至12個月內逐步累積量化數據。(3) 組織文化抗拒：員工可能習慣依賴直覺或過往經驗決策，對結構化的評鑑流程感到排斥。對策需要高階管理層的強力支持與宣導，透過教育訓練，展示風險評鑑如何幫助部門預防危機、優化資源分配，將其定位為賦能工具而非額外負擔。