侵權法

侵權法（Tort law）是民法中處理非契約性之損害賠償責任的法律領域。其核心概念在於「侵權行為人應對其過失或故意所致之損害負賠償責任」。根據台灣民法第184條，故意或過失致他人受損害者，應負損害賠償責任。此概念與ISO 31000所定義的「風險」相呼應，因為侵權行為本身即是企業未受控之不確定性。侵權法可分為故意侵權、過失侵權及無過失責任。在企業風險管理（ERM）中，侵權法是評估法律責任風險（Legal Risk）的基礎工具。相較於契約法處理合約義務，侵權法處理的是企業對社會大眾及第三方的注意義務。根據OECD原則，企業應建立防止侵權的內部控制機制，這直接對應ISO 31000中風險處理（Risk Treatment）的要求。台灣企業需特別注意產品責任（Product Liability）相關條文，如民法第200條及消費者保護法第44條，這些條文界定了企業在產品缺陷情境下的無過失責任。因此，侵權法不僅是訴訟工具，更是企業設計風險管理流程時必須納入的風險識別維度。

企業導入侵權法風險管理可遵循以下三個具體步驟。第一步：風險識別。依據ISO 31000:2018第6.4.2條，企業應識別所有可能產生侵權責任的情境，包括產品設計缺陷、資訊安全漏洞（如GDPR第32條要求的技術措施不足）及工作場所安全。第二步：風險評估。企業應使用ISO 31000第6.4.3條的風險評估方法，結合台灣民法第184條的損害賠償標準，量化潛在賠償金額。例如，若企業因未符合ISO 45001職業安全衛生管理系統要求導致員工受傷，其過失責任可依民法第184條計算。第三步：風險處理。企業應建立符合ISO 31000第6.5條的風險處理選項，包括透過保險轉移風險（如職業傷害保險）、強化內部控制（如導入ISO 27701個資保護管理）或設計產品安全機制。根據OECD企業治理原則IV.B，企業應建立有效的風險管理機制，確保其產品與服務符合當地侵權法規範。這要求企業在產品上市前進行嚴格的合規審查，並建立可追溯的設計文件，以應對未來可能的訴訟舉證。

台灣企業在導入侵權法風險管理時面臨三大挑戰。第一挑戰是法規適用的複雜性。台灣民法第184條至第195條及消費者保護法第44條至第48條構成多層次責任框架，企業需建立跨部門的法規追蹤機制。建議優先建立「法規合規矩陣」，將ISO 31000風險識別與台灣特定法規對應，並在90天內完成初步缺口分析。第二挑戰是證據舉證能力。台灣民事訴訟法對侵權舉證有特定要求，企業應依ISO 27701或ISO 22301建立完整的文件化紀錄系統，確保在訴訟發生時能舉證其已盡合理注意義務。第三挑戰是風險文化不足。許多中小企業仍將侵權賠償視為「不可預測的意外」而非可管理的風險。企業應依ISO 31000第5.3條建立風險管理文化，透過高階管理層的承諾與員工培訓，將侵權風險意識嵌入日常營運。建議企業在180天內完成員工培訓計畫，並將侵權風險指標納入KPI考核，以強化風險意識。

Tort law與多項國際標準及法規直接相關。ISO 31000:2018提供了風險管理系統的通用框架，其風險識別、評估與處理流程可直接應用於侵權風險管理。ISO 41001（設施管理）與ISO 45001（職業安全衛生）則直接對應工作場所侵權責任的防範。在資訊安全領域，GDPR第82條及台灣個資法第27條規定了資料外洩時的損害賠償責任，這屬於資訊侵權法範疇。ISO 27701作為ISO 27001的擴充標準，提供了處理個人資料處理活動的具體控制措施。此外，OECD原則IV.B強調企業應建立有效的風險管理機制，這與侵權法中「合理注意義務」的概念高度一致。企業應定期比對這些國際標準的最新要求，確保其風險管理機制能有效應對潛在的侵權訴訟。