MICMAC 分析

MICMAC（Matrice d'impacts croisés multiplication appliquée à un classement）由法國學者米歇爾·杜克（Michel Quivy）與羅傑·貝格（Roger Quivy）於1972年提出，屬於結構性分析方法論的一部分。其核心原理是透過「交叉影響矩陣」（Cross-Impact Matrix）評估各風險因素之間的相互影響程度，而非單獨評估每個風險的獨立性。在風險管理領域，MICMAC與ISM（解釋結構模型）常結合使用，用於識別系統性風險的根源。根據ISO 31000:2018第6.4.2條「風險評估」的規定，企業必須識別風險因果關係，MICMAC正是實現此要求的量化工具。與傳統風險矩陣（Likelihood x Impact）不同，MICMAC能揭示風險之間的連鎖反應，避免企業僅關注表面風險而忽略深層系統性漏洞。對於需要符合GDPR第35條DPIA（資料保護衝擊評估）的企業，MICMAC可用於識別數據處理流程中真正影響個資安全的關鍵控制點。

實務導入通常分為四個階段：第一步，識別風險因素清單，涵蓋營運、法規、技術與市場面向；第二步，專家評分交叉影響矩陣，評估每個因素對其他因素的影響力；第三步，計算「影響力」（row sum）與「依賴性」（column sum）得分，並繪製雙軸圖進行四象限分類；第四步，根據分類結果制定差異化應對策略。例如，一家台灣製造業企業在導入ISO 27701認證準備時，透過MICMAC分析發現「員工資安意識」是驅動「資料外洩事件」的關鍵因素（驅動群組），而非單純的防火牆技術問題。導入後，企業可將資源集中於員工培訓，預計可降低資料外洩事件發生率40%，並將資安事件的平均修復時間（MTTR）縮短25%。根據2023年ENISA報告，系統性風險識別的完整性直接影響企業在GDPR下最高4%營收罰款的風險暴露程度。

台灣企業在導入MICMAC分析時常見三大挑戰：首先是「專家判斷的主觀性」，因評分依賴專家經驗，容易受認知偏誤影響，建議採用德爾菲法（Delphi Method）進行多輪匿名評分以降低偏差。其次是「數據品質與系統整合問題」，許多企業的風險數據分散於不同部門，無法形成完整矩陣，解決方案是建立統一的風險資訊管理平台（GRI 2-24範例）。第三是「跨部門協作阻力」，風險管理常被視為IT或法務部門的責任，而非全體責任。建議由董事會或高階管理層依據ISO 31000的治理原則推動，並設定90天的導入里程碑：前30天完成因素識別，60天完成矩陣評估，90天產出風險治理藍圖。根據台灣金管會2024年最新指引，企業應建立可驗證的風險評估機制，MICMAC的量化輸出正是滿足此合規要求的關鍵證據。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業MICMAC Analysis相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact