風險導向規劃

Risk-Based Planning（風險導向規劃）是企業風險管理（ERM）的核心方法論，其核心邏輯是「風險決定策略」。不同於傳統的靜態規劃，它要求企業在制定業務持續計劃（BCP）前，必須先進行系統性的風險評鑑（Risk Assessment），識別出對組織營運有重大衝擊的威脅情境，如自然災害、資安攻擊或供應鏈中斷。此方法論在ISO 22301:2019（業務持續管理系統）中被明確要求作為規劃的基礎，要求組織根據風險的影響程度（Impact）與可能性（Likelihood）來設計應對策略。與傳統BCP不同之處在於，風險導向規劃強調「資源的精準投放」，避免在低風險情境上浪費過多管理資源，同時確保高風險情境有完整的應變程序與資源配置。這對於需要符合GDPR（歐盟通用資料保護規則）第32條「技術與組織措施」要求的企業尤為關鍵，因為GDPR要求風險評估必須與個人資料處理的風險程度成正比。

實務應用可分為三個階段：第一階段為「風險識別與量化」，企業需建立風險矩陣（Risk Matrix），將風險按衝擊程度（1-5分）與發生機率（1-5分）進行評分，例如台灣企業常見的電信中斷風險評分為（4,3），代表高衝擊、中等機率。第二階段為「策略對應」，針對高分風險制定具體策略，如建立異地備份（異地備份RTO需低於4小時）、建立備用供應商（需在24小時內啟動）。第三階段為「驗證與演練」，透過桌面演練（Tabletop Exercise）驗證策略的可行性。以台灣某大型電信業者為例，其在2023年面臨電信設備故障事件後，透過風險導向規劃將核心網路設備的冗餘度提升至N+2架構，使關鍵服務可用性從99.9%提升至99.99%，有效降低每小時潛在損失達200萬台幣。此類量化指標可透過KPI追蹤，如「關鍵業務恢復時間達成率」與「風險緩解措施覆蓋率」。

台灣企業導入風險導向規劃常見三大挑戰：第一為「數據不足」，許多中小企業缺乏歷史風險數據，導致風險評鑑主觀性過強，建議導入NIST CSF（網路安全框架）的量化評分機制。第二為「資源配置矛盾」，高階主管往往希望所有風險都被覆蓋，但實際資源有限，建議採用「風險容忍度（Risk Tolerance）」框架，明確定義哪些風險可接受、哪些必須嚴格控制。第三為「法規合規壓力」，台灣個資法第27條要求企業採取適當安全維護措施，若未進行風險導向的規劃，一旦發生個資外洩事件，將面臨高額罰鍰。建議企業採取「分階段導入」策略：第一階段（0-30天）完成資產盤點與風險識別；第二階段（31-90天）建立風險矩陣與應變策略；第三階段（91天後）持續監控與優化。此階段性方法可確保企業在有限預算內優先解決最關鍵的合規風險。