風險導向控制

Risk-based Control（風險導向控制）是指控制措施的設計、實施與監督均以風險評估結果為基礎的風險管理方法。其核心邏輯是：控制措施的強度與風險的嚴重程度及發生機率成正比。根據 ISO 31000:2018 第6.6.2條「風險評估」的原則，組織必須系統性地識別、分析與評估風險，才能制定有效的控制策略。相較於傳統的合規導向控制（Compliance-based Control）僅追求符合法規要求，風險導向控制更強調控制措施與實際風險情境的關聯性。在 COSO ERM 2017框架中，這被視為「治理與文化」與「策略與目標設定」之間的關鍵橋樑，確保控制活動直接支持組織的風險容忍度（Risk Tolerance）與風險偏好（Risk Appetite）設定。值得注意的是，風險導向控制並非忽略低風險領域，而是透過風險矩陣（Risk Matrix）進行優先排序，確保資源集中於可能對組織造成重大衝擊的關鍵風險點。這與 ISO 27701 在個資保護上的要求一致：控制措施的嚴格程度應與資料敏感度及處理活動的風險等級相對應，而非一體適用。

實務導入通常遵循以下三個步驟：第一步為「風險識別與量化」，企業需建立風險登錄冊（Risk Register），識別所有潛在風險並以「影響程度 × 發生機率」計算風險等級。第二步為「控制措施設計與對應」，針對高風險等級（如高於組織風險容忍度的風險）設計具體控制措施，如自動化控制、雙重授權、定期稽核等。第三步為「控制有效性驗證」，定期檢測控制措施是否能實際降低殘餘風險至可接受範圍。根據 NIST SP 800-30 的風險評估指南，控制措施的選擇應基於風險情境的具體性，而非通用模板。例如，處理大量客戶敏感資料的系統應採用加密傳輸與存取控制（對應 GDPR 第32條技術措施要求），而一般行政系統則可採用較低強度的控制。企業應定期檢視風險矩陣，當環境變化導致風險等級移位時，及時調整控制強度，以確保控制成本與風險降低效益之間取得最佳平衡。

台灣企業在導入風險導向控制時常見三項挑戰。首先是「法規合規優先」的思維定勢，許多企業將控制措施等同於法規清單，導致資源向法規要求集中而忽略實際業務風險。克服方法是建立風險矩陣，將法規要求與業務風險整合為統一的風險識別框架。其次是「數據基礎薄弱」，風險評估需要量化數據支撐，但許多台灣中小企業缺乏歷史風險數據，導致評估主觀性過強。建議採用類比法或專家判斷輔助，並逐步建立風險指標（KRI）數據收集機制。第三是「跨部門協作障礙」，風險管理常被視為合規部門的責任而非全員參與。解決方案是推動風險文化建設，將風險責任下放到各業務單位，並將風險控制成效納入績效考核指標。建議導入時程為：第一年建立框架與指標，第二年推動關鍵控制措施，第三年實現持續監控與優化循環。

Risk-based Control與多項國際標準直接相關。ISO 31000:2018 是最基礎的框架，提供了風險管理原則、框架與流程的系統性指導。ISO/IEC 27701 作為 ISO 27701:2019 隱私資訊管理系統標準，明確要求組織依據隱私風險等級設計控制措施，與 GDPR 第35條「資料保護衝擊評估（DPIA）」的要求高度呼應。NIST Cybersecurity Framework（CSF 2.0）同樣採用風險導向方法，要求組織依據風險情境選擇控制功能。此外，COSO ERM 2017框架將風險導向控制整合進策略規劃與績效衡量流程。這些標準的共同核心在於：控制措施的設計必須與風險情境、風險處理選項（避免、降低、轉移、接受）及組織目標相一致，而非機械式套用。