風險管理不是只求避險，而是要做好風險識別、評估與應對

為甚麼「只求避險」的思維會拖垮一間公司

避險帶來的安心感很實在，錯過的機會卻不容易察覺。於是很多決策會不自覺地偏向保守：不開新市場、不換供應商、不做新產品、不簽長約。這些決定單獨看都合理，累積起來卻會讓公司在三五年後發現自己原地踏步，而對手已經把市場切成幾塊。

反過來說，完全不設限的進取同樣危險。真正的難處在於拿捏，而拿捏需要一個前提：公司要先講清楚自己願意承受多少風險。管理實務上通常稱之為「風險胃納」（risk appetite），說得白一點就是——為了達到業務目標，我們最多可以接受多大的損失、多大的波動、多大的不確定性。

這件事沒有標準答案。一間現金流穩定、負債低的公司，可以承受較大的專案失敗率；一間靠單一大客養活、每月要準時出糧的貿易公司，可承受的空間就窄得多。重點不是誰比較勇敢，而是同一個組織裡，不同層級的人對「可以接受多少風險」有沒有一致的理解。

當這個共識不存在，就會出現兩種典型的混亂：前線為了追業績自行放寬信貸條件，財務部事後才知道；或者中層為了自保，把每個小決定都往上推，管理層被淹沒在瑣事裡。兩者都源於同一件事——沒有人講清楚界線在哪裡。

風險識別：先把事情看見，才有後續

風險識別是整個流程裡最容易被跳過的一步，因為看不見的風險不會吵。它不會出現在月報上，也不會有人主動匯報。等到它爆發，大家回顧時通常會說一句「其實早就覺得有點不對」。那一點「不對」，就是識別工作應該捕捉到的東西。

由上而下與由下而上，兩邊都要走

由上而下的角度，關注的是策略與外部環境：公司未來一兩年的主要收入來自哪裡？集中在少數客戶或單一市場嗎？關鍵原材料或服務有沒有單一來源？法規、稅務、匯率、利率的變動會怎樣傳導到成本與售價？這些問題通常由管理層與相關部門主管一起看，因為答案會影響資源分配。

由下而上的角度，則要走到實際做事的地方。跟著一張訂單從報價、接單、採購、生產、出貨到收款走一遍，沿途問幾個問題：這一步如果延遲三天會怎樣？這裡出錯要靠誰發現？誰有權限改動這筆資料？最近一次「差一點出事」是幾時？

最後那個問題特別有用。近失事件（near miss）往往被當成運氣好、不必記錄，但它其實是最便宜的教材。系統在凌晨發出過一次告警、供應商遲過一次貨、同事誤發過一次附件——這些如果沒有被記下來、被討論過，同類事件再發生的機率就不會下降。

四個掃描面，避免只看見熟悉的部分

• 流程面：每個關鍵步驟的輸入、輸出、審批關卡，以及一旦中斷會影響誰。
• 資產面：現金、存貨、設備、資料、品牌與客戶關係。資料這一項在今天特別容易被低估，因為它的損失往往延後才顯現。
• 人員面：關鍵崗位有沒有替補、知識有沒有寫下來、離職率高不高、是否存在一人同時掌握審批與執行。
• 外部面：客戶集中度、供應商集中度、法規變化、匯率與利率、天氣與物流中斷、網絡攻擊與資料外洩風險。

把四個面走完，你手上會有一份長長的名單。名單長不要緊，怕的是名單上只有幾項顯而易見的事，例如「火災」「盜竊」，卻沒有「唯一供應商明年可能加價三成」這種真正會讓人頭痛的項目。

識別是一次動作，更新是一種習慣

風險清單會過期。新產品上線、換了系統、簽了新客戶、搬了新辦公室、多了兩名新人——每一項變動都會改寫風險圖譜。所以清單需要有人負責維護，也需要有觸發條件：發生事故時更新、組織調整時更新、年度規劃時更新、進入新市場前更新。

聽起來很瑣碎，但這正是防線的所在。一份三年沒有改動過的風險登記冊，反映的不是公司很穩定，而是沒有人真的在看它。

風險評估：把「很嚴重」拆成可以比較的維度

識別之後，你會面對十幾二十項風險，資源卻有限。風險評估的作用就是排序。這裡最常出現的問題是把「嚴重」當成一個感覺——有人覺得現金流斷掉最恐怖，有人覺得客戶投訴最麻煩，討論半小時沒有結論。

比較可行的做法，是把風險拆成幾個可以各自討論的維度。

逐項打分之後，你會得到一個排序。分數本身不必追求精確，它的價值在於讓討論有共同語言。當有人說某項風險「應該排第一」，他可以指出是速度太快要立即處理，還是影響金額太大會傷到現金流，而不是只靠職級拍板。

留意幾個常見的判斷偏誤

剛發生過的事，會被高估。行業裡出了大新聞，大家會突然覺得同類事件明天就會找上門；相反，五年沒出事的環節，就容易被判定為安全。這種傾向在心理學裡叫可得性捷思（availability heuristic），Amos Tversky 與 Daniel Kahneman 於 1974 年發表的經典論文〈Judgment under Uncertainty: Heuristics and Biases〉正是把這類判斷捷徑系統化的研究，指出人在不確定下判斷頻率與可能性時，常以「容易想起的例子」作為依據。

另一種偏誤來自錨定與調整：第一個發言的人說「這個風險很低」，後面的人即使心裡不同意，也傾向在附近調整。會議裡如果老闆先表態，情況會更明顯。

還有一種是樂觀偏誤——計劃書永遠假設供應商準時、客戶準時付款、同事不會出錯，於是把時間表與預算都壓在最好的劇本上。對策很簡單：在評估時明確問一句「如果這件事最壞的情況發生，我們撐得住幾個月？」把答案寫下來，比任何形容詞都實在。

固有風險與殘餘風險要分開看

評估時容易混淆兩個狀態。一個是「甚麼控制措施都不做」的情況下風險有多大，另一個是「現有控制措施都生效」之後還剩多少風險。前者叫固有風險，後者叫殘餘風險。

分開看的好處，是能看清控制措施到底有沒有效。如果某項風險的固有評分很高，加了控制措施之後殘餘評分仍然很高，代表現有做法擋不住，需要重新設計；如果殘餘評分低得離奇，反而要問一句：這些控制措施真的在運作，還是只寫在紙上？

風險應對：四種處理方式，各有代價

排好序之後，才輪到選擇怎樣風險應對。常見的做法把應對方向分成四類，每一種都有它的成本，選錯會浪費資源，選漏會留下缺口。

選擇之前，最好先算一筆粗賬：處理這件事要花多少錢、多少人力、多少時間？不處理而讓它發生，損失大概落在哪個範圍？兩邊相比，答案通常會自己浮出來。很多爭論其實只是因為沒有人把這筆賬寫在紙上。

還有一個常被忽略的第五種選擇——主動利用不確定性。如果某項變化對公司而言是機會多於威脅，那就不是處理掉它，而是投入資源去把握。例如供應鏈重整時，同業忙著縮減，你反而有機會談到更好的長期條件。風險與機會本來就是同一枚硬幣的兩面，把名單只寫成「要防的事」，會漏掉這一半。

應對措施要寫到可以被驗證

「加強溝通」「提升意識」「密切留意」這類寫法，寫在計劃書上好看，執行時卻無從檢查。有效的應對措施通常包含四樣東西：誰負責、做甚麼、幾時完成、怎樣證明做完了。

例如「供應商單一來源」這項風險，應對措施可以寫成：由採購主管在下一季度完結前，為兩項關鍵物料各開發一家備用供應商，並完成一次小批量試單。這樣寫，半年後回頭看，做沒做、做到甚麼程度，一目了然。

把識別、評估、應對串成日常節奏

這三步如果只在年度會議上跑一次，效果有限。真正發揮作用的方式，是把它嵌進公司原本就在運作的節奏裡。

風險登記冊（Risk Register）是載體，不是目的。它至少要有幾欄：風險描述、可能觸發的情況、現有控制措施、殘餘風險程度、負責人、下一步行動與期限、上次覆核日期。長度不重要，重要的是每一項都有名字掛在上面。

風險擁有者要選對人。應該是有能力調動資源去改變現狀的管理層，而不是最熟悉這個題目卻沒有決策權的同事。把風險交給一個只能匯報、不能決定的人，等於沒有負責人。

覆核頻率按風險性質分。現金流、關鍵客戶、系統穩定性這類變動快的，適合每月或每季看一次；法規、租約、長約條款這類變動慢的，半年或一年看一次就夠。全部用同一個頻率，只會令人厭倦，最後變成例行公事。

關鍵風險指標（KRI）是提早預警的工具。它不需要複雜，可以是應收賬款逾期天數、單一客戶佔收入比例、關鍵崗位空缺時數、系統當機次數、庫存周轉天數。重點是設一個具體門檻（例如「應收賬逾期超過 45 天金額佔比達 15% 即觸發管理層覆核」），一旦越過就自動觸發討論，不必等下次例會。

向管理層匯報的方式也要改。逐項讀出三十條風險，聽的人三分鐘後就會分心。更有效的做法是講趨勢：這季有哪兩項風險上升了、為甚麼、打算怎樣做、需要甚麼資源。決策需要的是這幾句，而不是一份完整清單。

最後，把風險管理與預算及年度規劃掛鈎。如果一項風險被評估為重要，但對應的行動在預算裡找不到任何位置，那它實際上不會被處理。資源放在哪裡，才是真正的優先次序。

香港營運環境下，幾個值得留意的落點

本地企業以中小型為主，人手緊、資源有限，風險管理不能照搬大企業那套。以下幾項在實際環境中出現頻率較高，值得優先放進清單。

客戶與收入過度集中。幾間大客佔了大部分營業額，一旦其中一間減少訂單或延遲付款，現金流立即受壓。應對方向不是立刻分散客戶（成本太高），而是先設好預警線，例如單一客戶佔比超過某個水平時，管理層要主動討論並預留現金緩衝。

跨境供應與物流。採購依賴單一地區或單一工廠，遇上運輸中斷、關稅調整或當地政策變化，交貨期就會失控。備用供應商與安全庫存是最常見的緩解手段，代價是資金佔用，需要一起衡量。

應收賬款與匯率。接單時的利潤，有時會被匯率變動和逾期付款吃掉。訂單條款、付款條件、收款跟進流程這幾件事，值得當作獨立風險來管理，而不是交給會計同事順手處理。

資料與網絡安全。客戶資料、報價紀錄、供應商條件，一旦外洩或被勒索軟件鎖住，業務會直接停頓。除了技術措施，更要管的是權限與習慣：誰可以存取哪些資料、離職同事的帳號有沒有即時停用、備份有沒有試過還原。個人資料私隱專員公署發布的《私隱管理系統最佳行事方式指引》，把個人資料的管治、風險評估與事故應變整理成清晰步驟，中小企可按規模裁剪實施。

天氣與營運中斷。颱風與暴雨對本地的交貨、店舖營運和同事安全的影響真實存在。勞工處發布的最新修訂版《惡劣天氣及「極端情況」下工作守則》建議僱主盡早評估信號生效期間哪些僱員需要返回工作地點當值，並預先與僱員訂明安排。這類守則的價值在於把決策提前：誰負責決定、甚麼情況下停工、怎樣通知客戶與同事，寫下來比臨場在群組裡討論有效得多。

個人的層面同樣適用。應急現金相當於個人版的緩衝資本，能覆蓋幾個月的生活開支，遇到失業或突發醫療就不必被迫做倉促決定；單一收入來源、健康狀況、家庭成員的照顧安排，都屬於需要定期檢視的項目。這些事說起來樸素，卻是很多人真正吃過苦頭的地方。

幾個常見盲點

把文件當成結果。表格填得漂亮、簡報做得精緻，不代表風險被處理了。判斷標準很簡單：這份文件有沒有改變任何人的行為、任何一筆預算、任何一道流程？沒有的話，它只是紀錄，不是管理。

以為買了保險就處理完。保險處理的是財務後果的一部分，而且有理賠條件與上限。客戶流失、團隊信心、監管調查這些後果，保單不會替你承擔。轉移只是其中一種手段，不能取代其他三種。

交給一個部門包辦。合規或財務部門可以負責統籌與方法，但風險發生在每一個實際操作的位置。前線同事如果不參與識別，名單上就會長期缺少最真實的那幾項。

忽略人的因素。很多事故的起點不是系統故障，而是交班時講漏了一句、趕工時跳過一個檢查、離職前匆忙交接。流程設計要假設人會疲累、會遺漏、會在壓力下走近路，所以關鍵步驟才需要覆核與紀錄。

只談威脅，不談機會。名單上全是「要防的事」，會讓整間公司養成防守心態。定期問一句「這項變化如果朝好的方向走，我們可以怎樣把握」，會讓討論的氣氛與視角完全不同。

一個務實的起步方式

如果所在的團隊至今沒有正式的風險管理流程，不必一開始就做全套。挑一個具體的業務流程，例如「接單到收款」或「採購到入庫」，找齊參與其中的人，花兩個小時走完一次識別與評估，挑出三項最需要處理的風險，各自指定負責人與期限，然後約定三個月後回頭看。

跑完這一輪，你會得到幾樣東西：一份真正有人關心的清單、一個跨部門討論的習慣，以及一次檢驗方法是否可行的機會。之後再擴展到其他流程，阻力會小得多。

這個循環跑得順，公司對突發事件的抵抗力就會慢慢累積起來。它不會讓壞事不再發生，但會讓你更早知道、更快反應、損失更小，並且在別人縮手的時候仍然敢於做該做的決定。

風險管理最終要回答的問題，其實很簡單：你最怕的事情是甚麼、它有多可能發生、如果真的發生你打算怎樣做。把這三句話講清楚、寫下來、有人負責，已經比大多數公司做得好。

（備註：文中引述之香港勞工處守則及個人資料私隱專員公署指引，相關合規指引與政策條款請以各官方機構最新公布為準。）

常見問題（FAQ）