行政機關風險管理概念與實務行政院研究發展考核委員會 2007 年 7 月 25 日

行政機關風險管理概念與實務 行政院研究發展考核委員會 2007年7月25日

大綱一.政府組織導入風險管理的必要性二.風險管理的實務三.本院行政機關推動風險管理方案四. 持續推動風險管理之建議五.結語

一.政府組織導入風險管理的必要性 重大傷亡之車禍借展畫作因館舍施工受損北桃地區無預警停水如果下列情況發生在台灣該怎麼辦? 1.捷運車輛出軌 2.著名作古作家手稿保存不當受損 3.隧道內發生油罐車交通意外造成爆炸大火延燒……

風險管理日趨重要 自然、人文社會環境變遷自然環境異常科技進步快速社會問題全球化 • 風災 • 水旱災 • 海嘯 • 地震 • 基因食品 • 電磁波 • 網路駭客 • 金融詐騙 • 手機普及 • 工業污染 • 黑心商品 • 毒品氾濫 • 農藥殘留 • 傳媒競爭 • 新興傳染病 • 恐怖攻擊活動 • 國際政經變化 • 國際熱錢亂竄 •  嚴苛挑戰現代政府施政

911雙子星大眾倖存者教訓 • 多數反應不相信這種事會發生 • 倖存者平均用6分逃離半數未曾用過逃生梯 • 有人關電腦、找帶走物品、猶豫不決 • 處高度危險 10% 果決逃生 10% 哭泣驚慌抗拒離開 80%不知所措困惑遲疑 • 有備無患事先演練臨事從容應對 • Source: Time May 16 2005 pp44-48

二. 風險管理的實務 風險：指發生影響機關組織目標達成，損害民眾福祉或機關信譽之事件。風險管理：指系統運用管理技術，有效去除、減低風險所帶來危害的積極作為。 ○建立管理背景：任務、職掌、願景與客觀環境確認風險評估風險處理風險監控處理成果減少或避免風險之損害

風險可能性表示方式 • 三分法 • 高很可能兩年內發生 • 中可能兩年內發生 • 低不太可能兩年內發生 • 幾乎不可能可能幾乎確定〈由於經驗或學理驗證可以用更精準的量化方式表示〉

風險影響表現方式 • 衝擊(影響)衡量 • 傷害及損失(財產、利益及人員傷亡) • 作業面影響(服務中斷、資料洩露) • 名聲損失(官員負責、媒體負面報導、民眾信任下降) • 等級表示 • 非常嚴重嚴重輕微

風險管理主要過程 1. 確認風險 4. 評估成果 2. 評估風險 3. 處理風險

1.確認風險 • 風險來源〈組織本身或利害關係人〉 • 自然環境變化 • 科技與社會的發展 • 決策與運作的不當外在人為 • 確認方式 • 委託確認 • 自我確認 • 風險陳述 • 包括原因與影響

商業與法律關係 經濟環境人員行為自然事件政治環境科技管理活動及控制資產財源與權力活動直接與間接成本人社區關係績效聲譽信用互信組織行為風險來源及影響

會發生什麼 如何為何何處與何時發生計畫活動服務措施的風險來源可能導致情況對目標造成什麼影響受衝擊的利害關係者可能發生時機地原因方式目前控制方法控制方法可否改善風險辨識

各部會風險類別 • 策略決策性政治層面 • 方案計畫層面 • 作業服務提供層面

描述風險等級 • 非常高超過機關風險忍受量發生會災難性之影響控制作為有即時採行必要 • 高 • 中等 • 低發生後影響小無即時採行 • 非常低即使發生影響小僅須偶而檢討

2.評估風險 大 * 影響小低可能性高

3.處理風險 容忍可容忍者、能力不及者規避不能容忍者又能力不及者、成本過高者降低發生可能行性處置減輕影響度移轉以保險方式轉由他人承受掌握機會有正面影響之機會應掌握

處置 • 預防措施 • 溝通與宣導 • 緊急應變通報演練〈Emergency Planning〉 • 營運不中斷〈Business Continuity Plan〉 • 復原 • 重建

4.評估成果 • 監測風險圖樣是否改變。 • 確定處理是否有效，是否需進一步行動。

HRDC尋找及提報風險資訊格式 單位：Name of Branch 風險：Name of Risk 組織風險類別: Name of Risk Area 簡述風險事件及其影響： • 存在風險的目標: • 簡述可能無法完整達成的單位目標及其挑戰。 • 發展降低風險策略及其間的取捨。考量：簡述發展正確、可接受的降低風險策略及其取捨的考慮因素主要緩和風險策略：定義所有主要策略時間範圍：每一個降低策略的完成期限

有效風險管理的特點 • 辨識有可信賴且完整的資訊供辨識 • 評估依據風險的現況及潛在影響加以評估及記錄 • 提出員工具有能力與支援工具，如提出緊急應變計畫，管理風險 • 複核及報告定期檢討確保風險評估具時效，風險管理與目的相符

風險矩陣(Risk Matrix) Ｈ急迫關切事項基本風險：兼具較高衝擊與發生機率影響Ｍ例行事項經常處理：較高機率會發生但衝擊不大ＬＬＭＨ機率

分析機關風險容忍態度 • 排斥風險 • 最小風險忍受 • 保守忍受 • 開放接受風險 • 積極承接風險

風險評估對話 • 依據風險類別及機關容忍風險態度決策 • 例如機關容忍風險態度是積極型者即使信譽風險會帶來對機關嚴格審判只要風險可以帶來的利益大於風險可能之危害或損失仍將決策此種有風險之方案或政策

機關風險容忍之溝通 • 風險管理共同語言 • 風管指導手冊方針 • 與部會首長之對話 • 機關風管文化建立 • 高層對風管承諾有官負責分配主要風險 • 成果指標

機關風險容忍量列表 • 成效指標如何衡量目標值警訊指標 • 証據績效資料搜集 • 機關設定之風險容忍態度界限那些風險發生時應由高階決策 • 對個別計畫目標值及主要績效指標成效可接受的範圍

機關風險容忍量評估 • 分析容忍量 • 控制風險處理Treatment 轉移Transfer 中止Terminate • 名譽 • 資源時間人才預算與技術盤點 • 決策

Is it likely? What is the impact? Are we prepared to live with what can go wrong? if not..... 風險登錄表例 Note: Steve Treece UK Home Office Identity & Passport Service Ref RISK Root Causes Mitigating Actions Embedded Monitors/ Early Warning Indicators Control Owner Risk Scored at INHERENT Level Risk Scored at RESIDUAL Level Matrix Zone Threat to Achievement of Business Objectives (How could risk arise) Consequence Q1 Control Rating Consequence Environment Owner Matrix Zone Likelihood Reputation Likelihood Financial Security Safety 1. What can go wrong? How or why can it go wrong? Are there adequate controls to stop the event from occurring? ……….. If not what action can we take? How will we know that actions are in place and working? If it does go wrong is there sufficient mitigation ? ... If not, what needs to be put in place before things go wrong ? 2.

英國車輛監理局〈DVLA〉風險標靶圖 Green=風險應年檢無行動必要 Yellow=小風險除非控管未來成問題 Orange=應變計畫應評估確保風險發生衝擊最少 Red=立即行動優先作為降低風險 Square=風險可管理的 Triangle=未控管風險應更佳監控否則後果嚴重

三.風險管理推動方案 由Treasury Board邀集不同領域風險管理專家，研提「整合性風險管理架構」他國經驗 2001 8個部會開始試行 2002 推廣至16 個部會加拿大整合性風險管理 1997 開始規劃 2003 各部會開始試行 2001 開始規劃英國風險管理由Cabinet Office --Strategy Unit 提出提高政府部門管理風險及不確定能力之報告，供各部會參考目前各部會自主推動財政部支援服務 • 加拿大、英國政府之經驗 • 分階段實施 • 持續營造風險管理文化 • 強調整合性風險管理 • 視風險管理為提高施政績效之要素紐西蘭、澳洲風險管理 ……

從危機處理風險管理到多一分風險管理少一分危機處理

1環境變化 2新科技帶來新風險 3全球化、人民移動頻繁互賴增加 4網路發展促使訊息傳遞迅速且多元 5人民對政府期許提高 6媒體生態 7信任危機 8鼓勵創新作為 `````` 直接效益 1.降低風險發生可能性及損害衝擊度 2.有效因應危機 3.有助降低施政成本 4.達成組織目標型塑風險管理文化行政機關風險管理機制環境挑戰 1.首長之重視與承諾 2.充分溝通營造支持性的工作環境 1.成立推動組織 2.促發風險意識 3.檢視組織目標及核心職能，發掘主要風險 4.發展組織風險圖像培養風險意識建立風險圖像 1.將風險管理融入政策規劃、執行與評估等施政作為與過程 2.發展風險管理技術 3.人員教育訓練提升風險管理能量間接效益 1.提升決策品質 2.提升施政績效 3.提升民眾滿意度與信任度支持系統 1.技術性協助：參考手冊、諮詢輔導、專家資源 2.知識分享：標竿學習、資料庫網路化 3.教育訓練：開設風險管理宣導相關課程 4.建立激勵誘因風險管理架構

各部會應有的工作重點 首長重視與承諾依業務特性自行設計，並長期持續推動整合性風險管理機制 • 成立或強化推動組織，促發機關成員風險意識各部會 • 檢視環境變遷、組織願景、核心任務及策略目標，建構組織風險圖像建立組織風險圖像提升風險管理能量 • 透過教育訓練、發展風險管理工具及知能將風險管理融入施政作為 • 透過風險確認、評估、處理及監控之程序型塑風險管理文化 • 重視溝通、分享資源，營造支持性的工作環境

行政機關風險管理推動方案 (94/8/8) 94年底各部會提報3-5項風險並建立1項建立風險管理機制 95年底各部會完成組織風險圖像的建立 96年底各部會完成建構整合性風險管理機制

再次提醒：怎樣作好風險管理？ 管理面執行面機關首長重視與支持機關成員有風險意識關鍵建立風險管理機制

四. 持續推動風險管理之建議 • 1.事前防範與準備比事後危機處理 • 、災後重建更為重要 • 各機關應持續教育訓練、辦理標竿學習，強化風險管理能量，形塑機關風險文化

2. 確實辨識主要業務風險再次釐清 • 已選定者，是否為各部會首應處 • 理之關鍵項目。 • 與民生議題相關者，尤應納入。 • 各部會應將所屬機關及事業、廠商內化為風管的一環，不應忽視。

3. 熟悉風管機制 重要風險管理行動方案定期進行模擬演練，除增進員工溝通、協調之外，增進各項緊急應變、通報機制以及持續營運計畫熟悉度管理過程標準化與文件化，設置知識分享平台

五、結語 Risk Environment Context The Extended Enterprise Government Laws & regulations Other Government Departments Reviewing and reporting risks Identifying risks Communication and learning Communication and learning Communication and learning Parliament Capacity Addressing risks Partner Organisations Assessing risks Sponsored Sponsoring Organisations Stakeholder expectations The Economy 2004 Orange book: The Risk Management Model Corporate Governmance Requirements

辨識風險 檢討監測及評估風險可能影響風險循環圖評估機率與規模執行新控制措施評估既有控制措施增行動計畫及分工

報告完畢 敬請指教風險管理網站：risk.rdec.gov.tw

行政機關風險管理概念與實務行政院研究發展考核委員會 2007 年 7 月 25 日