風險登錄與四種處理方式

風險登錄與四種處理方式

這是「風險、智慧財產與合規」的第一課。前面八個課程群處理的是「怎麼把公司做起來」：找到顧客、算清單位經濟、設計流程、管好現金。這一課開始處理另一個問題——你已經做起來的東西，可能怎麼消失。

多數小公司對風險的處理方式是「想到就擔心一下，忙起來就忘了」。這不是懶惰，而是因為沒有一個可以把擔心變成待辦事項的工具。本課要建立的就是這個工具：風險登錄表（risk register）。它是一張表，把每一個可能傷害公司的具體事件、發生的可能性、發生後的損失金額、由誰負責、打算怎麼處理，全部寫在同一個地方。

本課會做兩件事。第一，教你把一句模糊的擔心改寫成可以估計、可以指派、可以覆核的風險條目。第二，教你在四種處理方式之間選擇，並且用算術驗算這個選擇。本課也會誠實地告訴你這套算術在哪裡會失效——那一段是全課最重要的部分，因為那正是風險管理真正決定公司生死的地方。

全課沿用一家教學用的小型軟體公司「宏茂科技」，做的是一款消費者應用程式，幣別為元。所有數字都是為教學建構的 example，不是任何真實公司的資料。

核心問題

本課要回答四個問題。

第一，什麼東西可以被寫進風險登錄表？這個問題聽起來瑣碎，實際上是整套方法能不能運作的關鍵。多數失敗的風險登錄表，錯在第一欄就寫錯了。

第二，可能性與影響金額要怎麼估？這兩個數字都不是查得到的事實，而是估計值。誠實面對這件事，比假裝數字很精確更有用。

第三，算出來的期望損失可以拿來做什麼？可以拿來排序嗎？可以拿來決定投多少錢嗎？本課會說明它能做什麼、不能做什麼。

第四，四種處理方式各自在什麼時候是對的？避免、降低、移轉、接受，四個詞每個人都聽過，但選錯的代價很具體。

完成標準是四個可檢查的動作：讀者能寫出一條含原因與後果的風險敘述；能填完一張五欄的風險登錄表並算出期望損失合計；能算出一項控制措施的淨效益；能指出自己公司裡哪一條風險不應該用期望損失排序，並說明理由。

先定義本課反覆使用的詞。風險（risk） 是一個尚未發生、發生後會影響目標達成的事件。可能性（likelihood） 是該事件在指定期間內發生的機率估計。影響金額（impact） 是該事件一旦發生，公司要承擔的金錢損失估計。期望損失（expected loss） 是可能性與影響金額的乘積。風險登錄表（risk register） 是記錄上述資訊與處理決定的清單。處理方式（risk treatment／risk response） 是公司對一條風險採取的行動類別。控制措施（control） 是為降低可能性或影響而採取的具體做法。剩餘風險（residual risk） 是採取處理措施之後仍然存在的風險。風險負責人（risk owner） 是這條風險的唯一指定負責人。

完整解釋

一條風險必須是事件，不是名詞

這是本課最容易被跳過、也最常被寫錯的一步。

「現金流」不是風險。它是一個名詞、一個主題、一個你會擔心的領域。你無法估計「現金流」發生的機率，因為現金流不會「發生」；你也無法指派任何人去處理「現金流」，因為沒有人知道要做什麼。

「主要客戶延遲付款 60 天，導致公司無法支付當月薪資」才是風險。它有三個要件：原因（主要客戶延遲付款）、事件（延遲 60 天）、後果（無法支付薪資）。有了這三件事，你才能問「這件事發生的機率大概多少」、「發生了會損失多少錢」、「誰負責盯這件事」、「我們可以做什麼讓它不發生或不那麼痛」。

美國國家標準與技術研究院（NIST）的 IR 8286 在說明風險登錄表的欄位時，明白指出風險敘述「常以因果格式撰寫，例如『若 X 發生，則 Y 發生』」（fact，見資料來源）。同一份文件引用美國管理及預算局 A-11 通報對風險登錄表的描述：「一份風險登錄表通常包含風險的描述、風險發生時的影響、其發生的機率、緩解策略、風險負責人，以及用以辨識較高優先順序風險的排序」（fact）。請注意這份清單裡有「風險負責人」——它不是可選欄位。

一個實用的檢查法：把你寫的風險條目唸給一個沒參與討論的同事聽，問他「那我們現在該做什麼」。如果他答不出來，那一條寫得還不夠具體。

宏茂科技第一次做風險盤點時，白板上寫的是「人才」「資安」「匯率」「供應商」。這四個詞沒有一個可以被處理。改寫之後才變成本課後面表格裡的四條風險：主要供應商中斷、客戶資料外洩、關鍵人員離職、匯率波動——而且每一條在真正的登錄表裡都還要展開成完整的因果敘述，例如「唯一的雲端服務供應商發生區域性中斷超過 24 小時，導致應用程式無法提供服務、觸發服務水準協議賠償並造成用戶流失」。

可能性與影響都是估計，而且要承認

風險登錄表最常見的假象，是那些數字看起來像事實。它們不是。

可能性通常沒有可靠的歷史資料可查。一家成立三年的公司，沒有經歷過資料外洩，這不代表機率是 0；經歷過一次，也不代表機率是 33%。影響金額同樣是估計：資料外洩的損失包含事故處理、通知成本、法律費用、賠償、客戶流失與商譽損害，其中好幾項在事前只能抓一個範圍。

正確的做法不是假裝精確，而是三件事。

第一，指定期間。 「可能性 20%」這句話沒有意義，除非你說清楚是「未來十二個月內」。同一條風險，一年內的機率和五年內的機率完全不同。全公司必須用同一個期間，否則加總沒有意義。NIST IR 8286 也指出，為了讓不同的風險登錄表可以被彙整比較，「估計每一條風險的可能性時應使用一致的時間範圍」（fact）。

第二，用區間而不是單點，但登錄表填中位數。 內部討論時說「這件事一年內發生的機率大概在 10% 到 30% 之間」比說「20%」誠實得多。表格上填 20%，但把區間記在備註裡。之後做決策時，如果換成 10% 或 30% 結論會反轉，那就代表這個決策對估計值太敏感，需要先去把估計做準一點。

第三，防範可預期的偏誤。 NIST IR 8286 列出風險辨識過程中常見的認知偏誤，包括過度自信（對風險情境過度樂觀，例如把威脅事件的可能性估得不合理地低）、團體迷思（以群體方式決策而壓抑了創造力與個人責任）、跟風（盲目追隨最新的熱潮而未針對自身威脅做詳細分析）與可得性偏誤（傾向關注容易想到的議題，例如最近聽過或讀過的事，而這未必代表實際發生機率）（fact，見資料來源）。這四項在小公司特別明顯：創辦人對自己的產品幾乎必然過度自信，而剛看完一則新聞的團隊會把那則新聞裡的風險估得過高。

實務上最有效的糾正動作，是讓估計人以外的另一個人問一句：「如果這件事明年真的發生了，事後回頭看，最可能的原因會是什麼？」這個問法會逼出被忽略的路徑。

期望損失：一個好用但危險的起點

期望損失的定義非常簡單：

期望損失 = 可能性 × 影響金額

它的意義是：如果同樣的情境重複很多次，長期平均每次會損失多少錢。這是一個有用的數字，理由有三個。它把可能性與影響兩個維度壓成一個可比較的數字；它讓不同性質的風險（供應商、人員、匯率）可以放在同一張表上排序；它讓控制措施的價值可以被計算——控制措施的價值就是它讓期望損失下降了多少。

下一節會把這三件事全部算出來。

但期望損失有一個內建的假設，而這個假設對小公司經常不成立。這件事重要到必須用一整節來講。

期望值是風險中性的——這是全課最重要的一句話

「期望值是風險中性的」。這句話的意思是：期望值的計算方式，隱含地假設決策者對「損失 100 萬元 一次」和「損失 10 萬元 十次」是無差別的，只要總額相同。它也假設「5% 機率損失 2,000 萬元」和「100% 機率損失 100 萬元」是同一件事，因為兩者的期望損失都是 100 萬元。

對一家現金充裕的大公司，這個假設大致成立。它一年處理成千上萬件風險事件，長期平均值就是它實際會付出的錢。

但一家現金有限的公司不是風險中性的。 理由不在心理學，而在算術：一筆超過公司剩餘現金的損失，不只是一個比較大的數字，它是終點。公司不會「損失 2,000 萬元然後繼續營運」，公司會停止存在。停止存在之後，未來所有的獲利、所有的成長、所有還沒發生的期望值，全部歸零。期望損失的公式看不到這件事，因為它只算單一事件的平均值，不算「公司還在不在」這個前提。

所以正確的做法多一個步驟：把每一條風險的影響金額，拿去和公司的可用現金比較。這個比較請對照 跑道、預算與財務控制算出來的可用現金與跑道長度，以及 現金流與營運資金對現金部位的定義。判準很簡單：

• 影響金額遠小於可用現金 → 這是一筆可以吸收的損失，期望損失是合理的排序依據。
• 影響金額接近或超過可用現金 → 這是一筆生存級風險，期望損失完全不是排序依據，無論它的機率多低。

這正是避免與移轉必須作為獨立處理方式存在的理由。如果所有風險都可以用期望值換算成金額並加總，那麼公司只需要「降低」一種工具，投資到邊際效益等於邊際成本為止就好。避免與移轉之所以是分開的類別，是因為它們處理的是期望值算不出來的東西：避免的功能是把某一條風險的機率壓到接近零，接受因此失去的機會；移轉的功能是把「損失發生在什麼時候、一次多少錢」這個分布，換成「每年固定付一筆保費」這個可預測的支出。移轉通常不會降低期望損失，甚至會提高（保險公司要賺錢），但它把公司從「可能一次死掉」換成「每年少賺一點」。對一家現金有限的公司，這個交換可能極度划算，即使算式上看起來是虧的。

要注意移轉不是萬能。NIST IR 8286 在描述移轉時明白指出，雖然部分財務後果可以移轉，「仍常有無法被移轉的後果，例如客戶信任的喪失」（fact，見資料來源）。保險賠得了修復費用，賠不回用戶。

四種處理方式，各自的真正意思

國際上不同的風險管理架構用詞略有差異，但可用的行動類別通常收斂成四類。NIST IR 8286 就明白寫道：「雖然各風險管理架構所用的術語有些差異，針對負面資安風險，有四種類型的行動可用：接受、移轉、降低、避免」（fact，見資料來源；該文件的英文用語為 accept、transfer、mitigate、avoid）。

避免（avoid）：不做那件事，讓風險沒有機會發生。不進入那個市場、不接那個客戶、不自行保存那類資料、不使用那項技術。避免是唯一能把機率壓到接近零的方式，代價是連同機會一起放棄。NIST IR 8286 的描述是：「若沒有具成本效益的方法把風險降到可接受的水準，避免可能是最佳選項」，同時提醒「與此決定相關的機會損失成本也應一併考量」（fact）。什麼時候該用：影響金額達到生存級，而且沒有可負擔的降低或移轉手段。宏茂科技若決定不在應用程式中儲存使用者的身分證字號與金融帳號，那就是在避免「客戶資料外洩」這條風險的一大部分——資料不存在，就不會外洩。

降低（mitigate／reduce）：採取控制措施，讓機率變小、或讓損失變小，或兩者都有。降低是四種裡最常用的，也是唯一可以被清楚計算投資報酬的。什麼時候該用：控制措施的年成本低於它帶來的期望損失下降，而且剩下的剩餘風險在可承受範圍內。下一節會完整算給你看。

移轉（transfer／share）：把後果的一部分交給另一方承擔。最典型的是保險，其次是合約中的責任上限、賠償條款與保證條款，第三是把某項作業外包給有能力承擔該風險的專業廠商。移轉的關鍵理解是：風險並沒有消失，只是換了承擔者，而且你為此付了錢。合約型的移轉工具在 合約與內部控制展開，保險與專業協助的判斷在 保險、執照與專業協助處理。什麼時候該用：影響金額大到公司吸收不了，但機率低到保費划算。

接受（accept）：明知有這條風險，決定不採取額外行動，只持續監看。NIST IR 8286 的描述很精確：「在風險容忍水準內接受風險。除監看外不需要額外的風險回應行動」（fact）。請注意兩個限定詞：「在容忍水準內」和「除監看外」。接受是一個有紀錄、有負責人、有覆核日期的決定，不是忘記。什麼時候該用：影響金額小到公司可以吸收，或者所有可用的處理手段成本都高於它們帶來的效益。

四者不是互斥的。一條風險常常同時用兩種以上：宏茂科技對「客戶資料外洩」可以同時做降低（加密、權限控管、定期演練）、移轉（投保）與避免（不收集不需要的欄位）。相關的技術控制與資料處理原則會在 隱私與資安完整展開。

每一條風險都要有一個名字

風險登錄表上最重要的欄位不是數字，是風險負責人——而且必須是一個人的名字，不是部門，不是「大家」。

理由和 流程、單一負責人與品質關卡裡的邏輯完全相同：兩個負責人等於沒有負責人。風險的情況甚至更糟，因為風險是一件「還沒發生的事」。流程沒有人負責，明天就會出問題；風險沒有人負責，可能兩年都沒事，直到有事的那天，才發現沒有人在看。這個角色的權責邊界在 角色當責有完整的展開。

風險負責人的職責有四項，都是可檢查的動作：定期重新評估可能性與影響；確認處理措施真的在執行（而不只是寫在表上）；監看預警指標；在覆核會議上報告這條風險的現況。

要區分兩種角色：風險負責人是為這條風險的結果負責的人，控制措施執行人是實際做事的人。兩者可以不同人。宏茂科技的「關鍵人員離職」由創辦人擔任風險負責人，實際的交接文件撰寫由各技術主管執行——但被問「上一季有幾個關鍵職位仍然只有一個人會做」的，是創辦人。

覆核節奏：不被打開的登錄表等於不存在

風險登錄表的價值全部來自它被定期打開。一張放在雲端硬碟裡半年沒動過的表，它記載的可能性與影響都已經失效——公司變大了、客戶集中度變了、供應商換了、法規變了。

覆核必須綁進既有的營運節奏，不要另外發明一個會議。營運節奏定義了公司的會議與紀錄週期，指標與營運節奏說明怎麼讓指標真的被看見；風險覆核應該掛在同一套節奏上。一個對小公司可行的安排是：

• 每季：全表覆核一次。逐條確認可能性與影響是否需要調整、處理措施是否執行、負責人是否仍然合適。
• 每月：只看被標為生存級的那幾條，以及本月有觸發預警指標的條目。
• 事件觸發：發生任何一次未遂事件、簽下任何一個佔營收比重超過門檻的新客戶、更換任何一個關鍵供應商時，立刻重開對應條目。

覆核會議的產出必須是修改過的表，不是會議紀錄。如果一次覆核之後表格一個字都沒改，通常代表沒有人真的在覆核。

剩餘風險：處理之後還剩下什麼

採取處理措施之後仍然存在的風險叫剩餘風險。NIST IR 8286 明白要求：在決定風險回應之後，分析應重新修正以反映每項回應帶來的可能性與影響下降，而「剩餘風險（即採取風險回應後所剩餘的風險）應記錄於風險登錄表的剩餘風險欄位」（fact，見資料來源）。

這一欄之所以重要，是因為它防止一種很普遍的錯覺：做了控制措施之後就把那一條當成解決了。宏茂科技對供應商中斷做了降低措施之後，可能性從 20% 降到 5%，影響金額 3,000,000 元 沒變，剩餘的期望損失是 0.05 × 3,000,000 = 150,000 元／年。這 150,000 元 不是零，它必須留在表上、留著負責人、留著覆核日期。

還有一件事必須寫進表裡：處理措施本身可能製造新的風險。NIST IR 8286 就舉例指出，為降低存取控制風險而加上多因素驗證，可能引入使用者不熟悉新技術而導致生產力下降的新風險（fact）。宏茂科技若為了避免供應商中斷而同時使用兩家雲端服務商，就多了一條「兩套環境設定不一致導致部署錯誤」的新風險。新風險要當成新的一列寫進表裡，不能藏在舊那一列的備註中。

失敗替代方案

失敗替代方案：為了投資人或稽核而做一次風險登錄表，之後再也沒有打開過。

宏茂科技在募資盡職調查（due diligence）時被要求提供風險評估文件。團隊花了兩個週末，做出一份格式完整、共二十二條風險、每條都有可能性與影響評級的表格，附在資料室裡。投資人看過，稽核也認可。之後這個檔案再也沒有被開啟。

它當時看起來完全合理，理由有三個，而且三個都是真的。第一，它確實滿足了提出要求的那個人——文件存在、格式正確、內容不荒謬，這是一份真的能通過檢視的文件。第二，它看起來像盡職：二十二條風險比多數同規模公司想得都多，團隊在製作過程中確實討論出了幾個沒想過的問題。第三，它的成本明確而效益模糊，所以在資源緊繃時，「維護它」永遠排在「做產品」後面，而且每一次這樣排序都是合理的。

它失效的假設是「風險登錄表的價值在於這份文件」。實際上文件只是載體，價值在於定期重新估計與定期採取行動這個持續動作。

它是怎麼腐爛的：表上填的是製作當天的判斷。六個月後，公司最大的客戶佔營收從 15% 變成 40%，但「客戶集中度」那一條的可能性還寫著半年前的數字。原本負責某條風險的工程師離職了，表上還是他的名字。有三條風險的處理措施寫著「將於下季導入」，那個下季已經過去兩次。這時候這張表比沒有更糟，因為公司相信自己已經在管理風險。

失效的兩個根本原因，都是欄位層級的缺失：沒有指派負責人（或指派了但沒有人被問過），以及沒有設定覆核日期。這兩件事都不需要花錢，但少了任何一個，這張表在製作完成的那一刻就開始變成小說。抄來的合規範本呈現的正是同一種失敗的另一個版本：文件的形式正確，但和公司實際的運作沒有連結。

預警訊號有三個：這份文件的建立動機來自外部要求而不是內部決策；表上找不到「負責人」與「下次覆核日期」兩個欄位；以及最直接的一個——隨機挑三條風險去問對應的負責人「這條上個月有什麼變化」，如果他不知道自己是負責人，這張表已經失效了。要完整練習這一整套建表與覆核動作，請完成 風險與智慧財產盤點。

逐步推導

以下全部使用宏茂科技的教學數字，幣別為元。假設：所有可能性都指「未來十二個月內至少發生一次」的機率估計；影響金額指該事件發生一次的全部金錢損失估計（含直接處理成本與可估計的間接損失），以事件發生當年的金額計，不做折現；四條風險彼此獨立，也就是任一條發生與否不改變其他條的機率——這是為了讓加總可以進行而做的簡化，真實世界的風險經常相關（例如供應商中斷與資料外洩可能同源），這一點在推導之後會另外說明；一年以 12 個月計，所有「年成本」指同一個十二個月期間。

風險登錄與處理

風險	可能性	影響金額	期望損失	處理方式
主要供應商中斷	20%	3,000,000	600,000	降低
客戶資料外洩	5%	20,000,000	1,000,000	移轉
關鍵人員離職	30%	1,500,000	450,000	降低
匯率波動	40%	500,000	200,000	接受

第一步：寫出算式。

期望損失 = 可能性 × 影響金額

單位檢查：可能性是無單位的機率（次／年，在「一年最多發生一次」的簡化下等同於機率），影響金額的單位是元／次。(次／年) × (元／次) = 元／年。所以期望損失這一欄的單位是元／年，不是元。這個單位很重要：它讓期望損失可以直接和「控制措施的年成本」相減，兩者單位一致。

第二步：逐列驗算。

主要供應商中斷：0.20 × 3,000,000 = 600,000 元／年。 客戶資料外洩：0.05 × 20,000,000 = 1,000,000 元／年。 關鍵人員離職：0.30 × 1,500,000 = 450,000 元／年。 匯率波動：0.40 × 500,000 = 200,000 元／年。

四列都與表格相符。

第三步：加總。

期望損失合計 = 600,000 + 1,000,000 + 450,000 + 200,000 = 2,250,000 元／年。

交叉檢核：換一種算法，把四項拆成 (0.2 × 3 + 0.05 × 20 + 0.3 × 1.5 + 0.4 × 0.5) 百萬元 = (0.6 + 1.0 + 0.45 + 0.2) 百萬元 = 2.25 百萬元 = 2,250,000 元／年，與逐列相加一致。

這個 2,250,000 元／年 的意思是：在上述假設下，若這四類事件的機率與影響估計正確，且情境重複很多年，宏茂科技平均每年會因為這四類風險損失 225 萬元。它不是明年一定會損失的金額。明年最可能的實際情況其實是「四件事都沒發生，損失 0 元」——四條風險都不發生的機率是 0.8 × 0.95 × 0.7 × 0.6 = 0.3192，約 32%。這正好說明期望值是一個長期平均，不是對明年的預測。

第四步：這個排序騙了你。 按期望損失由高到低排，順序是：客戶資料外洩（1,000,000）、主要供應商中斷（600,000）、關鍵人員離職（450,000）、匯率波動（200,000）。

現在看第一欄與第二欄。客戶資料外洩的可能性是全表最低的 5%，卻有全表最高的單次影響 20,000,000 元。假設宏茂科技的可用現金是 8,000,000 元——這條風險一旦發生，損失是可用現金的 2.5 倍。它不是一筆大支出，它是公司的終點。而匯率波動的可能性是全表最高的 40%，單次影響 500,000 元，只有可用現金的 6.25%，是一件麻煩但不致命的事。

如果只用期望損失排序，這兩條的差距是 5 倍（1,000,000 對 200,000）。但用「會不會結束公司」來看，兩者的差距是無限大：一條會，一條不會。期望值是風險中性的——它把「損失 2,000 萬元」單純當成一個比「損失 50 萬元」大四十倍的數字。對一家現金 800 萬元 的公司，這個換算是錯的，因為超過 800 萬元 的部分，公司沒有能力承受。這就是為什麼客戶資料外洩的處理方式是移轉而不是降低：不論你把機率從 5% 壓到 3% 或 2%，剩下的那個機率乘上 2,000 萬元，仍然是一個公司賠不起的數字。降低改變不了「賠不起」這件事，移轉可以。

同樣的邏輯讓匯率波動的處理方式是接受：它的期望損失 200,000 元／年 雖然是真金白銀，但公司吸收得了，而避險工具的成本與操作複雜度對這個規模的公司通常不划算。接受是一個決定，不是忽略——它仍然要有負責人與覆核日期。

第五步：關於獨立性假設的誠實說明。 上面的加總與 32% 那個計算都建立在四條風險彼此獨立的假設上。實務上這個假設經常不成立：一次嚴重的供應商中斷可能同時造成資料暴露；公司出事的消息可能同時觸發關鍵人員離職。風險相關時，「多件同時發生」的機率會比獨立假設算出來的高，而多件同時發生正是把公司推過現金底線的典型路徑。因此相關性會讓真實的生存風險高於本表的估計，不會低於。這是作者依假設所作的推論（inference），不是本表數字能證明的事。實務做法是在表外另外列出「共同原因」清單，標示哪幾條風險可能同時被觸發。

宏茂科技針對「主要供應商中斷」評估一項控制措施：建立第二家雲端服務商的備援環境，並每季演練切換。這項措施預估可把中斷造成重大損失的可能性從 20% 降到 5%，年成本 300,000 元（含第二套環境的固定費用與演練工時）。

控制措施成本效益

項目	數值
控制前可能性	20%
控制後可能性	5%
影響金額	3,000,000
期望損失下降	450,000
控制年成本	300,000
淨效益	150,000

第一步：寫出算式。 控制措施只降低可能性、不改變影響金額時：

期望損失下降 = (控制前可能性 − 控制後可能性) × 影響金額

第二步：代入數字。

期望損失下降 = (0.20 − 0.05) × 3,000,000 = 0.15 × 3,000,000 = 450,000 元／年。

單位檢查：(次／年) × (元／次) = 元／年，正確。

交叉檢核：分別算控制前後的期望損失再相減。控制前 0.20 × 3,000,000 = 600,000 元／年；控制後 0.05 × 3,000,000 = 150,000 元／年；差額 600,000 − 150,000 = 450,000 元／年。兩種算法一致。順帶得到剩餘風險：控制後這條風險的期望損失是 150,000 元／年，這個數字要填進登錄表的剩餘風險欄。

第三步：算淨效益。

淨效益 = 期望損失下降 − 控制年成本 = 450,000 − 300,000 = 150,000 元／年。

單位檢查：兩項都是元／年，相減後仍是元／年，正確。

結論：以期望值計算，這項控制措施值得做，因為它每年為公司省下的期望損失比它花掉的錢多 150,000 元。另一個等價的表達方式是投入產出比：450,000 ÷ 300,000 = 1.5，每投入 1 元 換回 1.5 元 的期望損失下降。

第四步：反轉案例——同樣的效果，但成本 600,000 元／年。 假設市面上只有一個報價更高的方案，年成本 600,000 元，效果完全相同（可能性 20% 降到 5%）：

淨效益 = 450,000 − 600,000 = −150,000 元／年。

投入產出比 450,000 ÷ 600,000 = 0.75，每投入 1 元 只換回 0.75 元。以期望值計算，這項措施不值得做——它每年淨虧 150,000 元。

第五步：為什麼公司可能還是要買它。 現在把影響金額換成 20,000,000 元（客戶資料外洩），公司可用現金 8,000,000 元。同樣的 15 個百分點降幅：

期望損失下降 = 0.15 × 20,000,000 = 3,000,000 元／年。

在這個情境下，即使控制年成本高達 3,500,000 元，淨效益是 3,000,000 − 3,500,000 = −500,000 元／年，帳面上仍然虧 50 萬元——但公司可能還是應該買，理由不在期望值裡：這項措施把「一次賠掉 2,000 萬元、公司結束」的年機率從 20% 降到 5%，也就是把公司在未來十二個月內因這一件事倒閉的機率降低了四分之三。50 萬元 的帳面虧損買到的是繼續存在的機率，而繼續存在的價值不會出現在單一年度的期望損失計算裡，因為那個計算假設公司永遠在。

用一句可以帶走的話總結：當損失小於公司能吸收的範圍時，用期望值決定；當損失大於公司能吸收的範圍時，期望值只是參考，判準改成「這件事發生後公司還在不在」。 期望值是分析的起點，不是終點。

第六步：把三種情況整理成判準。 令 C 為控制年成本、ΔEL 為期望損失下降、I 為影響金額、A 為可用現金：

• I 遠小於 A 且 ΔEL > C → 做。這是單純的划算投資。
• I 遠小於 A 且 ΔEL < C → 不做，改為接受並監看。花的錢比省的多，而且賠得起。
• I 大於 A → 不論 ΔEL 與 C 的大小關係，都必須處理，只是要比較「降低」「移轉」「避免」三種手段在同樣預算下哪一種最能把生存機率拉高。此時 ΔEL − C 是負數也可能是正確的決定。

常見誤解

「風險登錄是大公司才需要的文件。」 這個信念把「文件」和「管理」混為一談。大公司需要的是制度化的文件，因為決策者離現場很遠；小公司需要的是一張表，因為小公司對單一事件的抵抗力遠低於大公司——同樣一筆 2,000 萬元 的損失，大公司是一季的財報雜訊，宏茂科技是終點。真正的差別在形式而非必要性：一家五人公司的風險登錄表可能只有八列、一頁 A4、每季花四十分鐘覆核一次。NIST 的資安框架 2.0 在前言中明白表示，它「設計用來協助各種規模與各種產業的組織——包括產業界、政府、學術界與非營利組織——管理並降低其資安風險」，並且「不論組織資安計畫的成熟度與技術複雜度如何都適用」（fact，見資料來源）。同一份文件同時強調「並不採取一體適用（one-size-fits-all）的做法」，因為每個組織的風險、風險胃納與目標都不同（fact）。所以正確的結論不是「小公司不需要」，而是「小公司需要一個更小、更頻繁、更便宜的版本」。

「期望損失最高的最該處理。」 這是本課花最多篇幅推翻的信念。宏茂科技的表上，客戶資料外洩的期望損失 1,000,000 元／年 確實是最高的，這一次排序碰巧沒錯；但如果換一組數字——例如某條風險機率 60%、影響 400,000 元，期望損失 240,000 元／年——它會排在資料外洩後面很遠，然而真正決定該不該優先處理的，是「影響金額有沒有超過公司可用現金」這個獨立的判準。期望損失把兩個維度壓成一個數字，壓縮的過程中丟掉的正是「這一次會不會要命」這個資訊。在什麼條件下這個信念成立？當表上所有風險的影響金額都遠小於公司可用現金時，期望損失是完全合理的排序依據，因為此時每一條風險都只是成本問題，不是生存問題。較好的做法是排兩次序：先用「影響金額 ÷ 可用現金」挑出生存級風險單獨處理，剩下的再用期望損失排序。

「買了保險風險就消失了。」 保險移轉的是部分財務後果，不是事件本身。事件照樣會發生：資料照樣外洩、服務照樣中斷、客戶照樣流失。NIST IR 8286 明白指出，雖然某些財務後果可以移轉，「仍常有無法被移轉的後果，例如客戶信任的喪失」（fact，見資料來源）。此外保單有除外條款、有自負額、有理賠上限、有前提要件（例如未維持基本控制措施可能導致拒賠），而理賠需要時間，事故當下要墊付的現金仍然是公司自己的。在什麼條件下這個信念接近成立？當損失幾乎純粹是金錢、可被明確估算、且保額足以覆蓋時（例如設備毀損）。較好的理解是：保險把「不可預測的大額損失」換成「可預測的小額支出」，這個交換對現金有限的公司極有價值，但它從來不等於風險歸零。保單條款的實際範圍請見 保險、執照與專業協助。

「接受風險等於忽略風險。」 兩者的差別是有沒有紀錄。接受是一個決定：這條風險寫在表上，有指定的負責人，有明確的理由（影響金額在可吸收範圍內，或所有處理手段成本都高於效益），有覆核日期，通常還有一個預警指標——例如宏茂科技接受匯率波動，但設定「當外幣收入佔比超過 40% 或匯率單月變動超過 5% 時重新評估」。忽略則是這條風險根本不在表上，或在表上但沒有人知道自己是負責人。判斷方法很直接：問「我們決定接受這條風險的理由是什麼、什麼情況下會改變這個決定」，答不出來的就是忽略。

「做完風險評估就等於管理了風險。」 評估產出的是一份判斷，管理需要的是持續的動作。一張做完就歸檔的表，在製作完成那一刻就開始失效，因為它記錄的是當天的公司，而公司每個月都在變。前面的失敗替代方案完整說明了這個過程。實務判準只有一條：這張表上一次被修改是什麼時候？超過一季沒有任何修改的風險登錄表，多半已經不描述任何真實存在的公司。

「控制措施做了，那條風險就可以從表上刪掉。」 控制措施改變的是可能性或影響，不是存在與否。宏茂科技做完備援之後，供應商中斷的可能性從 20% 降到 5%，剩餘的期望損失還有 150,000 元／年。把這一條刪掉，等於宣稱剩餘機率是零，而那不是任何控制措施能達到的。更危險的是，控制措施本身會退化——備援環境如果半年沒演練過，它在真正需要時能不能切換是未知的。因此控制措施執行之後，這一列要更新而不是刪除，並且新增一個「控制是否仍然有效」的覆核項目。

「風險管理就是不要冒險。」 這個信念會直接殺死公司。所有創造價值的活動都帶著風險：推出新產品、進入新市場、雇用第一個業務、簽下第一個大客戶。風險管理的目的不是把風險降到零，而是確保公司承擔的是它選擇要承擔、而且承擔得起的風險，並且不要在沒意識到的情況下押上全部身家。這正是「避免」只適用於少數生存級風險、而不是預設選項的原因——避免的代價是連同機會一起放棄，而一家什麼機會都不冒的公司，會用另一種方式死掉。這個取捨和 策略取捨與壓力測試處理的是同一件事的兩面。

實務檢查表

• 把腦中所有的擔心先無差別寫下來，不要篩選，也不要在這個階段估任何數字；目標是清單長度，不是品質。完成條件是這份清單存在且至少涵蓋供應商、人員、客戶集中度、資金、資料與法規六個面向。
• 逐條改寫成「原因 → 事件 → 後果」的完整句子，並刪掉所有無法改寫的名詞式條目（如「資安」「人才」）。完成條件是每一條唸給一位沒參與討論的同事聽，他能說出「那我們該做什麼」。
• 為全表選定一個統一的評估期間並寫在表頭，建議是「未來十二個月內」。完成條件是表上沒有任何一條使用不同期間。
• 逐條估計可能性，同時在備註欄記下你認為的合理區間（例如 10%–30%）。完成條件是每一條都有中位數與區間兩個資訊。
• 逐條估計影響金額，列出這個金額由哪幾項組成（直接處理成本、賠償、營收損失、商譽），不要只填一個總數。完成條件是每一條的金額都能拆成至少兩項。
• 計算每一條的期望損失並加總，用第二種算法交叉檢核一次總額。完成條件是兩種算法結果相同。
• 從 跑道、預算與財務控制取得目前的可用現金數字，逐條計算「影響金額 ÷ 可用現金」，把比值超過 1 的條目標記為生存級風險。完成條件是這個比值欄位在表上，而且生存級條目被視覺上分開。
• 對每一條生存級風險，逐一評估避免、移轉、降低三種手段的可行性與年成本，並明確記錄不採用的理由。完成條件是每條生存級風險都有一個已決定的處理方式，而且「接受」不在選項中。
• 對每一條非生存級風險，計算候選控制措施的期望損失下降與年成本，只在淨效益為正時採用，否則標記為接受。完成條件是每個「做」或「不做」的決定旁邊都有一個算出來的數字。
• 為每一條風險填上一個人的姓名作為風險負責人，並當面告知該人。完成條件是隨機抽問三位負責人，三位都知道自己負責哪幾條。
• 為每一條風險填上下次覆核日期，並把季度全表覆核排進 營運節奏的既有會議中。完成條件是行事曆上有這個會議，且有指定的會議主持人。
• 對每一條已採取處理措施的風險，計算並填入剩餘風險（處理後的期望損失），不要刪除該列。完成條件是剩餘風險欄沒有空白，也沒有填 0。
• 檢查每一項處理措施是否製造了新的風險，若有則新增為獨立的一列。完成條件是至少檢查過三項最主要的處理措施。
• 列出可能同時觸發多條風險的共同原因（單一供應商、單一關鍵人員、單一客戶），寫成表外的一份清單。完成條件是這份清單存在且每一項標出它會同時觸發哪幾條風險。
• 為每一條標記為「接受」的風險設定一個可觀察的預警指標與門檻值，門檻被觸發時該條必須重新評估。完成條件是每條接受的風險都有指標名稱與數值門檻。
• 每季覆核後，確認表格確實有被修改；若一次覆核後零修改，安排一次由不同人主持的重新覆核。完成條件是版本紀錄顯示每季都有變更。

地區差異

本課的算術與判斷邏輯在任何地方都成立：期望損失等於可能性乘以影響金額、期望值是風險中性的、超過可用現金的損失是生存問題而不是成本問題、四種處理方式各有適用條件、剩餘風險必須被記錄。這些是結構性質，不依賴任何國家的法律，可以直接套用。

但風險管理一旦落到「你必須做什麼」與「你可以買到什麼」，就會碰到制度，而制度不是全球通用。以下這些問題必須逐案查核（as-of 2026-07-31），本課不提供答案：

強制性的風險管理與內部控制義務。 某些國家、某些產業（金融、醫療、電信、上市公司）對董事會或管理階層設有法定的風險管理與內部控制建置義務，未建置本身即構成違法或個人責任，而不只是管理不當。國際金融公司（IFC）的公司治理方法論把「控制環境」列為治理參數之一，說明公司的內部控制系統、內部稽核職能、風險管理系統與法令遵循職能應確保公司資產的妥善管理、營運效能、報導正確性以及對政策、程序、法律與法規的遵循（fact，見資料來源）；同一份文件同時明白表示「並不存在適用於所有公司的一體適用公司治理做法」（fact）。也就是說，連國際層級的方法論本身都不提供一體適用的規則。

保險的可得性與條款。 資安責任險、專業責任險、董監事責任險在不同市場的供給、承保範圍、除外事項與定價差異極大；某些險種在某些市場根本買不到，或需要先通過保險人的控制措施查核才願意承保。把「移轉」寫進登錄表之前，必須先確認在你的所在地真的買得到你想像中的那張保單。

事故通報義務與期限。 資料外洩、資安事故、營運中斷在許多制度下有法定的主管機關通報與當事人告知義務，期限與觸發門檻各地不同，而且經常修改。這一項尤其危險，因為期限通常以小時或日計，事故發生當下沒有時間查法規。具體的義務內容請對照 隱私與數位服務的地區差異查核 jurisdiction 與 as-of 日期。

紀錄保存與舉證責任。 風險登錄表與覆核紀錄在某些制度下可能成為法律程序中的證據，既可能證明公司已盡合理注意義務，也可能證明公司早已知悉某風險卻未處理。文件的保存年限、格式與可提出性因地而異。

合約型移轉的效力上限。 用合約條款把責任移轉給對方，在多數制度下有法律上的界限：某些責任不得以契約免除，某些免責條款在特定情境下不生效力。相關的合約設計判斷在 合約與內部控制展開，委外時的責任劃分則見 委外、規模化與危機。

上述任何一項的具體條文、門檻、期限與適用範圍，都必須就個案尋求當地合格的法律、保險與會計專業協助，並在文件上標註查核日期。本課出現的所有金額、機率、成本與現金部位都是教學 example，不是任何地區的法定標準或市場行情。

資料來源

NISTIR 8286: Integrating Cybersecurity and Enterprise Risk Management (ERM)（National Institute of Standards and Technology，2020 年 10 月出版，accessed 2026-07-31）是本課最主要的來源，支持五項主張。第一，風險登錄表的欄位構成：該文件引用美國管理及預算局 A-11 通報，說明風險登錄表「通常包含風險的描述、風險發生時的影響、其發生的機率、緩解策略、風險負責人，以及用以辨識較高優先順序風險的排序」，並說明風險敘述常以「若 X 發生，則 Y 發生」的因果格式撰寫（fact）——本課「風險必須是事件而非名詞」與「每條風險都要有負責人」兩節即以此為據。第二，四種處理方式：該文件明白列出針對負面風險有四種可用行動——accept、transfer、mitigate、avoid，並逐一定義，其中「移轉」被描述為與他方分擔部分後果（例如資安保險），且明白指出「雖然部分財務後果可以移轉，仍常有無法被移轉的後果，例如客戶信任的喪失」；「避免」則被描述為在沒有具成本效益的降低方法時可能是最佳選項，並提醒應一併考量機會損失成本（fact）。第三，剩餘風險：該文件要求在決定風險回應後重新修正分析，並把剩餘風險記錄於登錄表的對應欄位（fact）。第四，估計偏誤：該文件列出過度自信、團體迷思、跟風與可得性偏誤四種常見認知偏誤（fact）。第五，處理措施可能引入新風險：該文件以多因素驗證可能造成生產力下降為例（fact）。需要說明的是，該文件是為資安風險與企業風險管理整合而寫，本課把它的欄位結構與處理方式分類推廣到供應商、人員與匯率等非資安風險，這是作者的推廣應用（inference），該文件並未針對這些風險類別作規定。

The NIST Cybersecurity Framework (CSF) 2.0（National Institute of Standards and Technology，2024-02-26 出版，accessed 2026-07-31）支持本課「常見誤解」一節中「風險登錄是大公司才需要的文件」的反駁。該文件前言明白表示，CSF 2.0「設計用來協助各種規模與各種產業的組織——包括產業界、政府、學術界與非營利組織——管理並降低其資安風險」，且「不論組織資安計畫的成熟度與技術複雜度如何」皆有用；同時強調「CSF 並不採取一體適用（one-size-fits-all）的做法」，因為每個組織有共同也有獨特的風險，以及不同的風險胃納（risk appetite）與風險容忍度（risk tolerance）（fact）。該文件另指出，理想上 CSF 應與企業的其他風險（財務、隱私、供應鏈、聲譽、技術或實體風險）一併處理（fact）——這支持本課把資安、供應商、人員與匯率風險放在同一張表上的做法。本課不引用該文件作為任何具體控制措施或成本數字的依據。

IFC Corporate Governance Methodology Tools（International Finance Corporation，accessed 2026-07-31）支持本課「地區差異」一節的兩項主張。該頁說明其公司治理方法論提供的是公司、立法者、監理機關與資本市場守門人在發展治理準則、上市規則與揭露架構時可以使用的原則，並明白表示「不存在適用於所有公司的一體適用公司治理做法」（fact）；該頁並把「控制環境」列為治理參數，說明公司的內部控制系統、內部稽核職能、風險管理系統與法令遵循職能應確保資產妥善管理、營運效能、報導正確性與法令遵循（fact）。本課引用它的目的僅止於支持「風險管理屬於治理層次的職能」與「治理做法不是全球通用」兩點，不引用它作為任何特定國家法規內容的依據。該頁未提供本課任何算式或數字。

作者另嘗試查核 ISO 31000 風險管理標準的官方頁面與 OECD 公司治理原則的董事會職責章節，兩者在 2026-07-31 的自動化擷取皆回應 HTTP 403，內容無法取得；因此本課不引用這兩份文件，也未依記憶重建其內容。若日後需要以 ISO 31000 的用語（例如「風險程度」與本課「期望損失」的對應）補強，應重新取得原文後再行引用。

最後，三份來源都不涵蓋宏茂科技的任何數字。本課全部的可能性、影響金額、控制成本與可用現金都是為教學建構的 example，其中的計算是作者依題設所作的算術推導（inference），可以逐步複驗，但不代表任何真實公司的實際數據，也不構成任何法律、保險或財務建議。