安全複合體理論

安全複合體理論（Security Complex Theory, SCT）由巴里·布贊（Barry Buzan）與奧勒·韋弗（Ole Wæver）於1990年代提出，是區域安全研究的里程碑。其核心主張是：國家間的安全互動主要發生在區域層面，而非全球層面，因為地理鄰近性使安全議題（如領土爭議、資源競爭）更具實體性。SCT將安全議題分類為傳統安全（軍事）與非傳統安全（環境、經濟、社會），並強調「安全化」（Securitization）過程——即政治行為者將特定議題定義為生存威脅，從而突破常規政治規則。在企業風險管理（ERM）框架中，SCT提供了一個分析區域風險的理論基礎，特別適用於多國營運企業評估區域地緣政治風險對供應鏈的衝擊，其與ISO 31000的風險識別環節相呼應，要求企業不只關注全球趨勢，更需深挖區域性安全動態的具體影響。

實務應用可分為三個階段：第一步，區域風險識別。企業需依據SCT框架，將營運所在區域劃分為安全複合體，識別區域內的「友善國家」與「敵對國家」，並對應ISO 31000第6.4條的風險識別要求，列出區域性供應商斷鏈風險。第二步，情境建模與壓力測試。參考NIST框架中的情境建置原則，模擬區域衝突（如台海局勢或中東局勢）對關鍵資產與數據流動的衝擊。第三步，區域韌性策略設計。企業應建立區域分散化供應鏈（Regionalization），避免過度集中於單一安全複合體內的國家。例如，台灣電信企業在亞太區域的佈局，需同時考量區域安全格局對數據主權與GDPR跨境傳輸合規的潛在衝擊，並設定區域備援節點。量化指標包括：區域供應商替代率（目標>30%）、區域風險暴露值（VaR）及區域合規達成率（目標100%）。

台灣企業導入SCT面臨三大挑戰：首先是「區域風險認知不足」，許多企業仍以單一市場視角看待供應鏈，忽略區域安全複合體對商業秘密與技術流動的潛在威脅。建議透過ISO 223B1（業務持續管理）框架，將區域地緣政治風險納入業務衝擊分析（BIA）。其次是「法規多重性挑戰」，台灣企業在中國大陸、東南亞及歐美均有佈局，需同時符合台灣個資法、GDPR及各區域供應鏈盡職調查法規（如德國Supply Chain Due Diligence Act）。建議建立「區域合規矩陣」，以區域為單位設定差異化合規標準。第三是「人才結構性缺口」，企業缺乏具備地緣政治分析能力的風險管理人才。建議透過跨域培訓，將風險管理人員的專業延伸至區域安全研究領域，並建立外部智庫合作機制。建議導入時程：前30天完成區域風險盤點，60天建立區域韌性框架，90天完成全體管理層教育訓練。