何謂企業風險管理（Enterprise risk management，ERM)?
企業向來都需要管理各種風險，但過去許多企業往往只是由各個部門各自以較零散、缺乏整體規劃的方式進行管理。這種零星或分散的風險管理方式，不僅可能使組織偏離核心業務，也可能導致部分風險遭到忽略。
相較之下，企業風險管理是一種具策略性且整合性的管理方法，能協助企業有系統地鑑別、平衡及控制各項風險。完善導入企業風險管理，可確保各類風險（例如策略、營運、財務及法規遵循等）皆能獲得一致且全面的管理。
企業風險管理的定義
企業風險管理是組織用來管理風險並掌握機會，以支持實現組織目標的一套管理流程。它提供一套風險管理架構，通常包括盡可能鑑別與組織目標相關的事件或情境（包括風險與機會）、評估其發生的可能性及影響程度、制定因應策略，以及持續監測執行情況。
近年來，網路攻擊日益頻繁，加上 新冠疫情帶來的衝擊，更凸顯了傳統分散式風險評估方法的不足。企業風險管理 已成為組織治理的重要一環，也是需要持續改善並因應新興風險與機會的長期管理過程。
企業風險管理的步驟與組成
企業風險管理不應獨立推行，而應與組織所有活動及決策流程相互結合並深度整合。大多數管理系統標準，例如 ISO 9001（品質管理）、ISO/IEC 27001（資訊安全管理）、ISO 14001（環境管理），以及企業為提升產品、服務與品牌信譽、履行承諾所採用的其他管理系統標準，都包含了風險管理相關要求，並說明如何透過管理系統有效管理風險。如需更詳細的指引，可參考 ISO 31000 風險管理標準。
現今商業環境中，公司往往需要向客戶及內外部利害相關者證明其符合特定標準。因此，有效管理企業風險，並透過第三方驗證證明其管理成效，已成為企業的重要課題。
風險管理流程可分為以下幾個主要步驟：
- 風險鑑別：偵測並描述可能影響企業的潛在風險，找出可能影響組織目標的各項風險
- 風險評估：評估已鑑別風險發生的可能性及其影響程度，分析各項風險的機率與後果
- 風險回應：制定策略，以把握機會並降低威脅，規劃適當措施來管理或降低已鑑別的風險
- 控制活動：建立政策、程序及其他控制機制，確保風險回應措施能有效執行
- 資訊與溝通：及時鑑別、蒐集並傳達相關風險資訊，確保整個組織能掌握風險資訊，支援決策
- 監測與審查：持續監督風險管理流程的有效性，並視需要進行調整，同時定期檢討風險環境及因應策略的成效
企業風險管理的實例
企業面臨的風險會因產業、業務性質及所在地區而有所不同。傳統上，許多企業共同面臨的風險包括產品或服務競爭力下降，以及無法符合健康與安全法規要求。如今，大多數企業也必須管理利害相關者的期望，資訊安全及網路攻擊已成為多數企業共同面臨的重要風險，而人工智慧（AI）也已成為企業策略的重要議題。此外，像是多元、平等與共融（DEI）等過去相對邊緣的議題，也逐漸成為企業重視的管理事項。從更宏觀的角度來看，企業還必須回應環境、社會與公司治理（ESG）的要求，並展現相關績效，而這些表現也愈來愈受到投資人及其他利害相關者的重視。透過建立完善的企業風險管理策略，組織不僅能降低潛在威脅，也能掌握新的商業機會。
企業風險管理的實際應用範例，包括科技公司導入先進的網路安全措施，以防範資料外洩；以及食品製造商採用僅來自永續生產的原物料，並在生產流程及整個供應鏈中導入更完善的食品安全措施，以保障消費者健康。
企業風險管理工具與解決方案
市面上有許多可支援企業風險管理的工具與解決方案，其複雜程度各有不同。
符合 ISO 或其他驗證方案管理機構要求的管理系統，可提供一套具結構性的管理方法。其中，ISO 31000 是非常實用的風險管理指引，此外，其他指南及實務手冊也能協助組織依循特定產業標準建立企業風險管理。
風險影響通常可利用風險矩陣呈現，其中一個軸代表風險發生的可能性，另一個軸代表影響程度。風險等級通常由左下角的低風險，依序提升至中、高及右上角的極高風險。
另一項常用工具是源自品質管理問題分析方法的魚骨圖，又稱石川圖。魚骨圖是根本原因分析的重要工具，其外觀如魚骨，將問題置於魚頭，各項可能原因則依不同類別排列於魚骨上，例如方法、設備、材料、人員、量測及環境等。在風險管理中，魚骨圖可協助組織分析可能造成風險的根本原因。例如，在軟體開發專案中，若存在專案延誤風險，可利用魚骨圖分析導致延誤的各項可能因素。
每一項可能造成延誤的原因都可歸類至魚骨圖的一根主骨，而每一根主骨又可進一步延伸出各自的分支。例如，一根主骨可代表人員，另一根代表設備，第三根代表組織內部或供應鏈流程，另一根則可代表法規遵循。人員分支可能包括需要教育訓練或缺乏合適人才等因素；設備分支可能涵蓋需要導入新技術或設備故障等因素；流程主骨則可能包括制定作業手冊、核准經費，以及避免影響其他需優先處理的專案等事項。因法規因素導致的延誤，則可能是因為影響該專案的官方指引尚未發布，或仍在審查修訂中。
另一類工具則是企業風險管理軟體平台，可提供具彈性的建模架構，以支援評估多種類型的資產並管理企業風險。
透過有效導入企業風險管理，組織不僅能保護自身免受潛在威脅，也能掌握可能出現的新機會。希望提升相關能力與知識的組織，可透過風險管理課程，進一步強化對企業風險管理實務與架構的理解與應用，以更有效地在組織內推動企業風險管理。
