企業風險專家鄭興演講
“企業風險管理新思維”
文：柯彥丞、王郁馨整理
勤業眾信管理顧問副總經理鄭興於「企管優化重拾競爭力」論壇中，分享了企業風險管理的新思維，探討了企業風險管理的基本觀念及其重要性，與企業如何執行風險管理，並提供了一些實際的案例讓大家能對風險管理之重要性有更深刻的體悟。
壹、企業風險管理驅動力量與效益
回顧2012全球風險
Risk Management Magazine之資深編輯Jared Wade提出，現行全球企業較為關注之七點風險項目分別為：
1. 經濟停滯壓縮了預算並影響利潤 (Economic Stagnation Continues to Strain Budgets, Hurt Earnings)
2. 進階持續的威脅成為公司最大的網絡風險 (Advanced Persistent Threats Become Your Greatest Cyber-Risk)
3. 供應鏈之脆弱程度 (Supply Chain Vulnerability)
4. 產業成為下一個泡沫之風險 (The Next Bubble)
5. 如何填補人才缺口 (Bridging the Talent Gap)
6. 不預期的法規 (Regulatory Unpreparedness)
7. 未能辨識出風險所帶來的機會 (Not Recognizing the Upside of Risk)
上述一到五項，相信許多企業經營者已經頗有意識，這裡特別針對最後兩項加以說明。「不預期的法規」(Regulatory Unpreparedness)之風險，有時是政府的法規反而會因為經濟的不景氣而規定越來越嚴，例如與會計報表相關的IFRS，企業就需為配合會計師調整會計處理原則，而要投入一定的資源。另一例子為美國政府為了避免海外美國人逃漏稅導致減少稅收，制定了肥咖條款(FATCA)，造成各國金融機構為遵法而增加的成本；又或者是如國內最近通過實施的個人資料保護法，企業必須去思考企業內部的個人資料保護機制是否夠完善，而針對不足的部分將強因應措施，這些措施也是企業的成本所在。這些例子都在說明有許多法規都會在不預期的時候冒出來，要如何因應它，都可能會增加企業的營運成本或是風險。另外一項提到的風險為「未能辨識出風險所帶來的機會」(Not Recognizing Your Upside of Risk)，主要說明企業經營本來就會遇到風險，而這也是它的本質。企業如何抓住這個本質，換個角度想是這個風險可能為我帶來一個機會，例如社群網站，公司主管可能會很擔心員工在社群網站上散播或發表對公司的負面消息，或是如產品不好，顧客的抱怨在網路上流傳的速度會比十幾年前快很多。但反向思考，許多公司就會去掌握與經營這些媒體管道，散佈一些好的消息，增加公司形象或是產品及品牌的曝光度，讓原本因媒體傳播可能帶來的風險變成了一項利器而形成了機會。
接踵而來的風險
不管是2011年日本發生的311強震而造成的海嘯災難或是泰國的水災，都可能對企業造成衝擊。除這些外部不可控的天然災害，我們也可以看到許多企業內部的經營風險，例如宏碁在歐洲的通路的庫存管理議題上，造成其必須打消新台幣43億的存貨，對公司造成極大損失。不管企業規模大小，企業經營上總會不斷遇到風險，這是一個很自然的事。例如吳佳翰副總稍早提及多年前Nokia的案例，因Nokia於關鍵供應商Phillip廠失火有立即做出緊急處理鎖住關鍵零組件，但競爭對手Ericsson沒有而到發現狀況不對為時已晚，所以Nokia在後續可以取得關鍵零組件進而取得市佔率成為手機龍頭。但是Nokia現在經營狀況如何？它在產品競爭力、開發新產品和市場需求掌握上沒有辦法應對這些接踵而來的風險，而被三星和Apple等其他手機品牌打敗，市佔率節節下降。這告訴我們什麼?企業要營運十年二十年，要面對的是接踵而來的風險，打一次勝仗並不是真的贏，並不能因此而鬆懈下來。
風險與危機
風險管理首要步驟為定義風險與危機。什麼叫風險？什麼叫危機？這是兩個不太一樣的東西。風險係指影響企業無法達到營運目標的可能事件或因素，包含了外部及內部因素，而企業可以擁有較充裕的回應時間。而危機則像是地震及水災等天然災害，大多是從外部突然來的，而企業能應對的時間較短或是根本來不及回應。風險發生的頻率高，對企業造成的損失相對較低，並且可以事先預期與回應。危機發生頻率相對較低，但對企業影響較大，且無法預估，所以危機管理的重點就不會是在預防它，而是當它來的時候，怎麼去保護企業自身。
企業常見的內外部風險
回應詹文男所長所提及的企業持續營運的重點，企業要對風險有相應對的管理機制和策略，重點是要把它制度化，好的風險管理應要包含應對機制、保護措施及事件發生時的回應策略及行動方案，這些都是包含在企業風險管理(Enterprise Risk Management, ERM)的範疇中。常見的外部的風險動因包括外部法規的變化、經濟環境的波動、人口老年化等。內部常見的則包括策略與執行、高階人員輪換、人員薪酬不合理、企業擴充等。例如，企業的併購案件，當一家台灣公司去併購一家美國的公司，當初可能考量到市場的佔有率和銷售管道，但卻可能沒有考慮到兩個企業文化的差異或是低估人員融合的困難度，最後可能在併購綜效上造成打折的效果。德勤把企業常見的風險歸納整理為五個面向，這其中包含了治理面、策略執行面、營運面、法規面、報告面，細項總有五、六百個風險項目，提供給企業業界常見風險的最佳實務。此外，在一些先進國家的大企業，它們的企業風險管理架構裡，從完整的法規、報告到策略執行上，都有一個完整的機制在檢視各面向的風險。
為什麼會忽略風險？
台大柯承恩教授曾經說過，風險多半是隱性不容易清楚判別的。在景氣好的時候，企業忙著賺錢，追求成長與利潤，無暇注意風險；景氣不好的時候更是需要思考如何賺錢，因此更著重於處理日常營運事務，所以也不會去思考風險。另外有經驗的管理者，通常也比較有自信，不認為自己會碰到風險，但是就如同之前提到的Nokia案例，我們不要對一時的勝利而蒙蔽了其他對風險視而不見。
建立風險管理意識
風險管理為全企業需建立的意識，有意識之後還需有回應的機制。”No Risk, No Return！”，企業經營本質上就存在風險，好好去管理風險就是創造機會。我們若好好去抓住這個風險給我們帶來的機會，創造企業價值，就是有報酬風險，包括研發新產品、購併競爭者、開發新市場等。另外，我們也看到很多風險是企業維持價值及營運而必須做的，這些為無報酬風險，例如包括法律風險、財務風險、供應鏈風險及人員安全等。
德勤於前幾年針對全球的企業做的ERM Bench"">
貳、企業風險管理實務與案例解析
台灣企業風險管理情況
台灣企業整體的風險管理做的如何？一般來說，大型的金融企業因一些法規的規範，所以它的風險管理制度較為系統化、制度化，在風險分類範疇上面，也因為巴賽爾協定的規範，分為市場、信用與作業等風險。另外也多會有獨立的風險管理委員會與風險管理部門，被要求定期舉辦風險管理的活動。
除金融業外，台灣大部分企業其實都處於較被動狀態，大多為碰到問題才會針對問題，點狀的去做處理，也回應詹文男所長於論壇一開始所說的，如果是一些重複的事情一直在發生，這些的風險我們可不可以建立一些管理的機制？這部份目前大概是台灣大部分企業較為缺乏的。那該如何執行？就組織架構面，可能需建置一風險管理委員會，但不見得為必須，而是有設置一管理的權責單位在運作風險管理相關事務，但是風險管理不是只有委員或是管理單位負責，而是整個公司所有單位部門都要做的事情，各單位部門的人就自己權責範圍，辨識企業經營的風險在哪裡並評估及衡量。評估出對公司影響大之風險就要做回應，也就是要訂定回應的策略及行動計畫，接下來就是行動計畫的執行和檢討。其實這就是一個”PDCA” (Plan, Do, Check, and Action)的一個循環，為整體的一個架構。
實務分享
豐田汽車廠：
2009年8月時，日本豐田汽車有幾台Lexus在加州因煞車失靈造成些死傷，於報紙報導出來四個月後，2010年1月時，媒體再揭露美國的運輸部門發現油門踏板有瑕疵。隔了一個月，豐田社長豐田章男親自去美國參加聽證會，之後美國法院對豐田開出了一千六百萬美金罰單。這當中，豐田因為安全問題，已召修了一千多萬輛車。這整起事件發生的非常迅速，也造成很大的損失。事後，豐田迅速成立一個全球品質管理委員會，以確保該品牌生產的車輛品質。事件發生後，有一陣子大家對豐田的品質形象打了一個很大的折扣，但豐田後來恢復過來了。今天重新檢視這事，豐田汽車在風險辨識與回應上的反應確實是較慢，以為只是個別的品質事件，一開始也僅做地區性的處理，但沒想到地區性的事情變成整個全球商譽的風險。
這件事告訴我們，第一，風險是可以連動的，事件會如雪球越滾越大；第二，企業如果可以及早建立一個風險辨識評估的管理的機制，並快速回應的話，就可以將風險事件帶來的損失降低。
德勤的案例：
2001年911事件發生，紐約雙子星大樓被飛機撞毀的事，相信大家耳熟能詳。其實在這之前，德勤全球營運辦公室也是位於這棟大樓，且曾經於地下室發生汽車炸彈事件，警報器大響，當時德勤的全球總裁花了三個小時走樓梯到達地面層時，他察覺未於高樓也是一項風險，且不能讓他的員工暴露在這樣的風險下面。當時的總裁是一位有風險管理意識的領導人，所以決定把德勤的辦公室搬到雙子星大樓後面比較矮一點的建築物，所以911並沒有對德勤造成太大的損失。這案例告訴大家培養風險意識的重要性，才能讓公司思考怎樣做好企業風險管理。￭ | 
