合法性

Legitimacy（合法性）源自拉丁語'legitimus'，指符合法律或正當程序的事實狀態。在風險管理領域，它不僅是法律合規（Compliance）的範疇，更涵蓋社會認可的道德正當性。根據ISO 31000:2018第5.4.1條，風險管理應考慮組織的「脈絡」（Context），其中法律環境與社會期待是核心組成。當組織的決策與其宣稱的價值觀或社會契約不一致時，即出現合法性缺口。這與合規性（Compliance）不同：合規是「必須做的事」，合法性則是「應該做的事」。若企業僅滿足法律底線而違反社會期待，仍可能面臨公眾抵制、人才流失及供應商終止合約等非法律性風險。因此，合法性是企業永續經營的基礎。

導入合法性管理需遵循系統化步驟。第一步，依ISO 31000:2018第5.4.2條進行「脈絡建立」，識別組織營運地的所有法律義務、行業規範及利害關係人期望。第二步，依ISO 31000:2018第6.4.2條進行「風險評鑑」，評估現有政策與實際操作之間是否存在合法性落差。例如，GDPR第6條要求處理個人資料必須具備合法基礎，若企業無法舉證，即為重大風險。第三步，依ISO 31000:2018第6.5條設計「風險處理」機制，建立內部控制程序、透明的資訊揭露機制及申訴處理管道。這三步必須持續循環，以應對不斷變化的法規環境。

台灣企業導入合法性管理主要面臨三個挑戰。首先是「法規碎片化」：台灣企業同時受台灣個資法、金融監督管理委員會（金管會）規定及國際法規（如GDPR）約束，合規成本高。對策是建立統一的合規管理系統（如ISO 27701）。其次是「文化價值衝突」：台灣企業文化偏向高情境、高脈絡，決策往往依賴內部人脈而非透明程序。對策是導入ISO 37301合規管理系統，將決策流程標準化。第三是「供應鏈壓力」：歐盟CSRD（企業永續報告指令）自2024年起要求大企業揭露供應鏈風險，台灣出口導向企業必須立即建立供應商管理機制。優先行動應為：1. 盤點法規地圖（0-3月）→ 2. 建立內部控制機制（3-9月）→ 3. 取得第三方認證（9月後）。

Legitimacy直接相關的國際標準包括ISO 31000（風險管理）與ISO 37301（合規管理系統），這兩者共同構成本組織合法性的管理框架。數據保護領域，GDPR（通用資料保護規則）第5條及第6條明確規定了資料處理的合法性原則。金融領域，OECD原則IV（OECD Principles IV）要求企業建立誠信文化。台灣企業應特別關注《個人資料保護法》第18條及第20條，這直接影響企業處理台灣客戶資料的合法性。這些標準與法規的差異在於：ISO標準提供管理方法論，而GDPR與台灣個資法提供強制性法律義務。