風險容忍度

風險容忍度（Risk Tolerances）是在追求特定目標時，組織願意接受的、偏離其「風險偏好（Risk Appetite）」的具體程度。根據COSO的《企業風險管理—整合策略與績效》（2017）及ISO 31000:2018標準，風險偏好是組織願意承擔風險的總體類型與數量，較為宏觀；而風險容忍度則是將此偏好轉化為可操作、可衡量的具體指標。例如，一家公司的風險偏好可能是「對市場風險採取溫和態度」，其對應的風險容忍度則可能是「單季股票投資組合虧損不得超過8%」。它為日常營運提供了清晰的「紅線」，確保各部門的風險承擔行為與企業整體策略保持一致，是連接風險策略與執行的關鍵橋樑，有效防止因個別業務單位的過度冒險而損害企業整體目標。

風險容忍度的實際應用主要分為三步驟：第一步是「連結策略目標與風險偏好」，由高階管理層根據企業策略，核定整體的風險偏好聲明。第二步是「設定量化指標與閾值」，針對關鍵業務目標（如：產品良率、客戶流失率），設定對應的關鍵風險指標（Key Risk Indicators, KRI）及其可容忍的變動區間（如：客戶月流失率容忍度設為1.5%至2.0%之間）。第三步是「建立監控與通報機制」，透過資訊系統定期追蹤KRI數據，一旦指標接近或超出容忍度閾值，即自動觸發預設的應變計畫與向上呈報流程。以台灣某金融控股公司為例，其為資訊安全風險設定的容忍度為「核心系統年度非計畫性停機時間不得超過2小時」，此舉使系統可用性提升至99.98%，並順利通過金融監督管理委員會的年度審計。

台灣企業導入風險容忍度主要面臨三大挑戰：1.「文化因素」：部分傳統企業文化強調「使命必達」，管理者不願公開討論或設定「可接受的失敗範圍」，認為這會限制業務彈性。2.「跨部門溝通障礙」：不同部門對同一風險的看法存在差異，例如IT部門對系統穩定性的容忍度極低，而業務部門則可能為了搶市佔率而願意承擔較高風險，導致共識難以形成。3.「指標量化困難」：對於如商譽風險、策略風險等難以直接量化的風險，設定具體的容忍度指標是一大挑戰。對策上，應由上而下推動，透過高階主管工作坊建立其策略價值共識；成立由風險管理單位主導的跨部門委員會，協調並校準各方容忍度標準；對於難量化的風險，初期可採用質化指標（如：高／中／低）搭配情境分析來定義容忍邊界，並規劃在6至12個月內逐步完善量化模型。