企業風險管理與資訊安全機制設計.pdfVIP

企業風險管理與資訊安全機制設計 │專題報導 企業風險管理 與資訊安全機制設計 廖君美∕財金資訊公司安控部經理 我們可以嘗試降低（Reduce ）或轉移 一、前言 （Transfer ）風險，卻難以將其完全消除 企業存在的目的，旨在創造價值，以滿足 （Eliminate ）。至於企業如何找出風險、可承受 利害關係人（如客戶、員工、股東等）的需求。 多少風險、如何降低或轉移風險、應該降低或 所有企業均會面臨各種不確定性，其中具有負 轉移多少等等事項，就是企業風險管理的範疇。 面影響者稱為風險，具有正面影響者則謂之機 各方討論企業風險管理，必然會提及COSO 會，企業的價值可能因該等不確定性而消蝕或 組織發布的企業風險管理（Enterprise Risk 提升。 Management, ERM ）架構。COSO 組織的全 管理階層為了創造企業的最大價值，必須 名是Committee of Sponsoring Organizations 在企業成長、報酬與相關風險中取得最適平 of the Treadway Commission ，它是由美國註 衡，決定可以接受的不確定性之程度，並有效 冊會計師協會（American Institute of Certified 處理相關風險與機會；而企業風險管理可以協 Public Accountants ，簡稱AICPA ）、內部稽 助管理階層訂定策略及目標，有效分配資源， 核協會（Institute of Internal Auditors ，簡稱 強化風險回應決策，降低非預期的營運風險與 IIA ）、美國會計協會（American Accounting 損失，以達成企業的營運目標。 Association ，簡稱AAA ）、管理會計師協會 資訊科技日益更迭，各種應用推陳出新， （Institute of Management Accountants ，簡稱 企業之日常作業仰賴資訊化的程度亦不斷飆 IMA ）及國際財務主管協會（Financial 升；也因此，面對層出不窮的資訊安全事件， Executives International ，簡稱FEI ）五個專業 資訊安全管理相關議題更不容企業輕忽。本文 團體共同資助，於 1985 年成立的美國民間組 將以風險管理為主軸，由企業風險、作業風險 織，它發布的各項反詐欺、內部控制、商業道 延伸到資安風險，並說明資訊安全機制設計的 德、公司治理及財務報告等準則是金融法人、 考量因素。 民間企業、監理機構等各種單位的共識，這些 報告通常具有指標性的意涵，也經常被官方、 二、企業風險管理 民間組織及監理單位奉為行為的圭臬。 何謂風險（Risk ）？風險就是任何可能影 COSO 於2004 年9 月廣納各方建議，結 響企業達到其管理或控制目標的威脅或障礙， 合風險管理與內部控制架構，提出「企業風險 .tw  27 專題報導 │企業風險管理與資訊安全機制設計 管理－整合架構（Enterprise Risk Management 要素： －Integrated Framework ）」，針對「企業風 (一) 內部環境 （Internal Environment ）：型塑 險管理」提出以下定義： 企業的風險文化，建立人員看待與處理風 － 企業風險管理是一遍及企業各層面之過 險的基礎，包含風險管理哲學、風險胃納、 程，該