風險與衝擊分析

風險與衝擊分析（Risk and Impact Analysis）是一套結合「風險評鑑」與「業務衝擊分析（BIA）」的綜合性管理流程。其核心定義是系統性地識別可能中斷組織營運的潛在威脅（如天災、網路攻擊、供應鏈中斷），並評估這些威脅發生的可能性，以及一旦發生後對關鍵業務流程所造成的衝擊程度。在國際標準ISO 22301:2019（業務連續性管理系統）中，此分析是規劃階段的強制要求，其產出是制定復原策略的基礎。它與單純的BIA（業務衝擊分析，指導原則為ISO 22317）不同之處在於，BIA主要關注「中斷的後果」，而風險與衝擊分析則額外納入了「威脅發生的機率」，提供更全面的決策依據，使資源能更精準地投入於防範高機率且高衝擊的風險事件，是建立組織營運韌性的第一步。

在實務應用上，企業通常遵循以下步驟導入風險與衝擊分析： 1. **範疇界定與關鍵流程識別：** 根據ISO 22301第8.2.1條，首先需識別組織的關鍵產品、服務及其相關的業務流程與資源。例如，一家銀行的關鍵流程可能包含線上交易、ATM服務與客戶資料管理。 2. **威脅識別與衝擊評估：** 針對已識別的關鍵流程，分析可能導致中斷的內外部威脅。接著，依據ISO 22317指引，評估各項衝擊，量化指標包含：最大可容忍中斷時間（MTPD）、復原時間目標（RTO）、財務損失、客戶流失率與法規罰款等。 3. **風險排序與策略制定：** 將威脅發生的「可能性」與衝擊的「嚴重性」繪製成風險矩陣，高風險、高衝擊的項目（如核心系統遭勒索軟體攻擊）應列為最高優先級。分析結果將直接驅動業務連續性策略的制定，例如，台灣某製造業龍頭因分析發現單一供應商斷鏈風險過高，遂啟動「供應商多元化」專案，成功將供應鏈中斷風險降低40%，並通過國際客戶的供應鏈韌性審計。

台灣企業導入風險與衝擊分析時，普遍面臨三大挑戰： 1. **資源限制與成本考量：** 中小企業常因預算及人力有限，認為此分析是「非必要成本」，導致分析流於形式或完全忽略。對策是採用分階段導入法，優先針對1-2個核心業務進行先導計畫，以具體成果（如降低潛在損失）爭取高層支持，再逐步擴大範圍。預期6個月內可見初步成效。 2. **跨部門協作困難：** 分析需整合營運、IT、財務、法務等多方資訊，但部門壁壘常導致資訊不透明，難以釐清關鍵流程的真實依賴關係。解決方案是成立由高階主管領導的跨部門「BCM推動委員會」，建立常態溝通機制，並賦予其協調權力。優先行動為在1個月內發布委員會組織章程。 3. **法規認知不足：** 許多企業對《資通安全管理法》或金管會對營運持續的要求理解不深，誤將其等同於IT的災難備援。對策是舉辦高階主管與部門主管的法規遵從與風險意識工作坊，強調營運韌性不僅是IT議題，更是企業永續經營的關鍵。優先行動為將BCM納入年度教育訓練計畫。