威脅評估與關鍵控制點

TACCP（Threat Assessment and Critical Control Points）中文為「威脅評估與關鍵控制點」，是一套源於反恐思維的風險管理方法學，專門用於防範食品供應鏈中的惡意、蓄意攻擊行為。其核心定義是透過系統性評估，識別供應鏈中可能吸引攻擊者（如恐怖份子、不滿員工、犯罪組織）的環節，並建立關鍵控制點來減輕或消除這些威脅。TACCP的權威指引為英國標準協會（BSI）發布的公開可用規範 PAS 96:2017。在風險管理體系中，TACCP是「食品防禦（Food Defense）」計畫的基石，與處理非蓄意危害的HACCP（危害分析與關鍵控制點）及處理經濟動機食品詐欺的VACCP（脆弱性評估與關鍵控制點）形成互補，共同構成完整的食品保護體系。全球食品安全倡議（GFSI）所認可的多項標準，如BRCGS、FSSC 22000，皆要求企業必須建立並實施有效的TACCP系統。

企業應用TACCP的過程通常遵循一套結構化步驟，以確保系統性與有效性。第一步是「成立跨職能團隊與界定範疇」，團隊成員應包含品保、生產、採購、資安及人資等部門，共同定義評估的產品線與供應鏈範圍。第二步是「威脅評估與脆弱性分析」，團隊利用腦力激盪、情境分析等方式，識別潛在攻擊者、其動機與能力，並評估從原料接收、加工、儲存到運輸各環節的脆弱性。第三步是「判定關鍵控制點與建立控制措施」，針對被評估為高風險的環節，設定為威脅關鍵控制點（TACCPs），並導入具體防禦措施，例如對關鍵區域（如原料儲存槽）實施門禁管制與影像監控、對新進員工進行背景調查、採用防竄改包裝、建立異常事件通報機制等。最後一步是「監控、審查與持續改善」，定期驗證控制措施的有效性，並每年或在發生重大事件後，全面審查TACCP計畫。透過導入TACCP，企業可將GFSI稽核通過率提升至95%以上，並顯著降低因惡意破壞導致的營運中斷與品牌聲譽損失風險。

台灣企業導入TACCP主要面臨三項挑戰。首先是「觀念混淆與資源限制」，許多中小企業將TACCP與行之有年的HACCP混為一談，低估了評估惡意威脅所需的專業知識（如犯罪心理學、情報分析），導致由現有品保人員兼任，成效不彰。對策是舉辦高階主管與核心團隊的專門培訓，釐清食品防禦的獨特性，並在初期尋求外部專家協助建立客製化框架，預計3個月內完成。其次是「供應鏈透明度不足」，台灣食品供應鏈複雜且多層，難以有效評估上游供應商的內部威脅與脆弱性。解決方案是建立更嚴格的供應商准入與稽核標準，要求其提供食品防禦計畫，並優先針對關鍵原料供應商進行實地查核。最後是「實體與資訊安全整合困難」，TACCP防禦範疇涵蓋實體入侵與網路攻擊（如竄改生產參數），但企業的廠務與IT部門常各自為政。對策是成立由高階主管領導的跨部門食品防禦小組，強制協同作業，並將網路安全納入威脅評估，定期舉辦整合性演練，預計6個月內建立有效協作機制。