MKB（中小企業）

MKB是荷蘭語Midden- en Kleinbedrijf的縮寫，對應臺灣企業環境中的中小企業（SMEs）。從企業風險管理角度定義，MKB是指員工數通常低於250人、年營業額或資產負債總額有限的商業實體。根據歐盟2003/36/EC指令及臺灣《中小企業發展法》第2條，MKB在數位轉型過程中面臨的風險識別、量化與應對機制與大型企業有本質差異。大型企業擁有專職CISO與完整COSO ERM框架，而MKB往往將資訊安全風險視為IT部門的技術問題，而非企業治理核心議題。這種認知落差是導致MKB在ISO 31000風險管理體系中執行不到位的根本原因。臺灣企業應將MKB定義為「高風險、低韌性」的複合體，需透過系統化工具而非個人經驗來管理數位與營運風險。

MKB導入ERM應遵循「識別→評估→控制→監控」四步驟。第一步，依ISO 31000:2018進行情境分析，識別數位轉型、供應鏈中斷與法規合規三大風險領域。第二步，參考NIST網路安全框架（CSF）的五大功能（識別、保護、偵測、回應、復原）建立控制措施。第三步，臺灣企業可參考《企業風險管理實務指引》，將資通安全風險納入董事會層級的風險矩陣。第四步，建立KRI（關鍵風險指標），例如「資通安全事件回應時間」與「關鍵資料外洩事件數」。實務案例顯示，臺灣某製造業MKB導入ISO 27701認證後，資通安全事件發生率降低40%，客戶信任度提升25%，有效避免因供應商審查不通過而失去訂單的營收損失。

臺灣企業導入MKB風險管理主要面臨三個挑戰。首先是「資源錯位」：中小企業傾向將有限預算投入生產而非風險控制。對策是採用分階段導入策略，優先建立符合臺灣個資法的基本控制措施。其次是「人才缺口」：MKB缺乏專業風險管理人員。對策是採用外部顧問輔導+內部人員培訓的混合模式，並利用ISO 31000的簡化版工具。第三是「法規認知不足」：臺灣企業對GDPR與臺灣個資法的雙重要求仍模糊。對策是建立合規矩陣，將法規要求轉化為可執行的技術控制。建議企業在90天內完成現況缺口分析，180天內建立完整ERM機制，並每年度進行一次風險評估循環。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業MKB相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact