引言：善用資訊以提升績效

歡迎研讀丁部：用於績效與洞察的數據科學及技術（Section D: Data science and technology for performance and insights）中這個至關重要的章節。作為未來的策略領袖與績效管理專家，你必然深知決策者完全依賴優質數據。然而，若機構的數據被困於各自為政的部門角落、面臨網絡威脅的風險，或是被雜亂無章的無效資訊所淹沒，後果會是怎樣？

在本章中，我們將探討現代機構所面對的三大環環相扣的挑戰：

1. 數據孤島（Data silos）及其對會計職能造成的嚴重障礙。
2. 系統與數據風險，以及保障資訊資產所需的關鍵內部監控。
3. 精實資訊系統（Lean information systems），以及如何透過實用的 5S 架構確保資訊能帶來真正的策略價值，而非製造昂貴的行政浪費。

考試提示：在 ACCA APM 考試中，乙部（Section B）其中一條 25 分的必答題直接取自丁部（Area D）。此外，科技與資訊管治課題亦經常出現在甲部（Section A）的 50 分個案研究中。掌握這些原則，將有助你在商業敏銳度（Commercial Acumen）、專業懷疑態度（Scepticism）以及分析與評估（Analysis and Evaluation）等專業技能上取得關鍵分數。

---

1. 數據孤島與會計職能

甚麼是數據孤島？

數據孤島（Data silo）是指由單一部門、分部或職能單位獨立保存的數據儲存庫，機構內其他部門無法輕易存取或共享這些數據。

生活化比喻：想像一家繁忙的餐廳，廚房員工、樓面侍應和採購經理各自保存一本獨立且私密的筆記本。侍應在紙上記錄顧客訂單，廚房憑肉眼估算存貨，而採購部門則根據上個月的收據訂購食材，彼此從不溝通。無可避免的結果是甚麼？食材短缺、食物浪費、顧客憤怒，以及財務賬目不準確。這正是業務單位在數據孤島下運作時的真實寫照。

數據孤島為何會形成？

數據孤島鮮少是有意建立的，往往是因常見的組織架構因素而逐漸形成：

• 分權架構（Decentralised structures）：當業務單位或分部獲賦予高度自主權時，他們自然會選擇符合自身偏好的軟件和歸檔流程，而非遵循企業統一標準。
• 傳統資訊科技系統（Legacy IT systems）：生產或銷售部門使用的舊式專用系統，往往無法與中央會計系統連接或進行數據介面整合。
• 部門文化與競爭（Departmental culture and rivalries）：團隊有時會將數據視為專有的權力基礎（「知識就是力量」），抗拒與中央管理層或同級部門共享資訊。
• 併購活動（Mergers and acquisitions）：迅速收購的附屬公司通常自帶不兼容的傳統軟件，而這些軟件從未被徹底整合至統一的企業架構中。

數據孤島給會計職能帶來的問題

對策略管理會計師而言，數據孤島是營運與策略上的重大難題。在 APM 考試場景中，請特別留意以下營運失調的情況：

1. 缺乏「單一真實版本」（Single Version of the Truth）
當多個部門各自獨立記錄數據時，數據指標便會出現衝突。例如，市場推廣部門的系統可能根據電郵點擊量報告有 10,000 名活躍客戶，而財務系統卻只記錄了 6,500 個付費賬戶。高層管理人員往往浪費時間爭論誰的報告才準確，而非主動制定策略決策。

2. 重複工作與效率低下
會計人員花費大量時間手動擷取、重新輸入、核對和格式化來自銷售、物流和人力資源等部門互相矛盾的試算表。這些機械式的數據處理工作，白白消耗了本應用於策略分析和績效評估的寶貴專業時間。

3. 規劃、預算編制與預測不準確
預算編制和滾動預測需要對機構有全面的了解。若財務部門缺乏即時營運數據（例如工廠廢品率、供應商交貨期或潛在銷售轉化率），財務預測將建立在過時的假設之上，導致預算控制徹底失效。

4. 決策延誤
當會計團隊將分散的數據流整合成每月管理報告集時，資訊早已成為歷史數據。在瞬息萬變的競爭市場中，落後於形勢的回顧性報告將阻礙機構靈活應對新興的商業威脅。

5. 次優化（Sub-optimisation）與策略脫節
若分部經理僅依據本地關鍵績效指標（KPI）接受評估，他們可能會囤積資源，或作出有利於自身分部卻損害整體企業利潤的決策。數據孤島掩蓋了這些局部的權衡取捨，使高層管理人員蒙在鼓裡。

重點回顧：化解數據孤島

要消除數據孤島，機構須邁向整合的企業架構（例如企業資源規劃系統 ERP 或統一的企業資料庫），並輔以協作性的企業文化和全企業推行的數據管治規範。

核心要點：數據孤島割裂了組織的真實營運狀況，損害數據完整性，並使會計職能淪為回顧性的對賬部門，無法發揮前瞻性策略業務夥伴的角色。

---

2. 系統與數據安全：風險與監控

現代績效管理系統高度依賴網絡互聯、雲端儲存和數碼分析。這固然帶來了巨大的策略優勢，但亦造成了重大的風險敞口。管理會計師必須具備識別系統漏洞並評估內部監控是否充分的能力。

資訊安全的三大支柱（CIA 三要素）

在評估具體威脅前，先考慮資訊安全的基本目標：

• 機密性（Confidentiality）：確保敏感資訊（例如策略規劃、高層薪酬、客戶定價）僅限獲授權人士存取。
• 完整性（Integrity）：保障數據的準確性、完整性與有效性，防止遭未經授權的修改或刪除。
• 可用性（Availability）：確保決策者在有需要時，能隨時存取關鍵的績效系統和底層數據。

系統與數據的主要風險

技術與績效數據面臨的風險源自外部威脅與內部薄弱環節：

1. 網絡威脅與惡意攻擊
機構面臨來自黑客、國家行為者及網絡罪犯的外部威脅，例子包括：

• 勒索軟件（Ransomware）：加密企業資料庫並勒索贖金以換取解密權限的惡意軟件，會導致營運徹底癱瘓。
• 釣魚攻擊與社交工程（Phishing and social engineering）：旨在誘騙員工交出登入憑證或授權欺詐性轉賬的欺詐通訊。
• 阻斷服務攻擊（DoS）：以海量流量衝擊系統，導致面向客戶的平台或內部網絡癱瘓。

2. 內部威脅與人為錯誤
你知道嗎？絕大多數的數據外洩並非源自頂尖黑客，而是員工無心之失。常見的內部風險包括：

• 誤刪關鍵財務模型或歷史績效記錄。
• 遺失存有高度機密管理賬目且未經加密的手提電腦、智能手機或便攜式儲存裝置。
• 心懷不滿或即將離職的員工蓄意進行欺詐、破壞或竊取知識產權。

3. 實體與環境災難
硬件故障、停電、火災、水浸或自然災害均可能摧毀本地伺服器基建；若缺乏異地備份，將導致數據永久遺失。

4. 系統與軟件漏洞
過時的作業系統、未安裝修補程式的軟件以及不安全的系統介面，都會為未經授權的入侵提供後門。

保障安全的內部監控

為應對這些風險，機構通常設計涵蓋三類的分層內部監控系統：實體監控、邏輯（技術）監控和行政（程序）監控。

A. 實體監控（Physical Controls）

實體監控保護有形的硬件及系統資產免受直接實體干擾：

• 伺服器機房配備生物識別門鎖、電子門卡和閉路電視監控（CCTV）。
• 具備溫度與濕度控制的環境，並配備自動滅火系統。
• 裝設不間斷電源供應系統（UPS）和後備發電機，以防突發的電壓波動和停電事故。

B. 邏輯與技術監控（Logical and Technical Controls）

邏輯監控利用軟件工具和網絡通訊協定，保護軟件和數據的虛擬存取權限：

• 使用者存取權限與基於角色的權限設定（Role-based permissions）：按最低權限原則（Principle of least privilege）運作，員工僅獲賦予執行職務所需的特定數據存取權。
• 多重認證（Multi-Factor Authentication, MFA）：要求提供兩種或以上的驗證因素（例如密碼加上智能手機的臨時動態密碼驗證碼）方可登入。
• 加密技術（Encryption）：對傳輸中（in transit）（在網絡傳送）及靜態（at rest）（儲存於磁碟）的數據進行加密；若無解密金鑰，截獲的文件將無法閱讀。
• 防火牆與入侵偵測／防禦系統（IDS/IPS）：監控進出網絡流量，阻截惡意攻擊企圖。

C. 行政與營運監控（Administrative and Operational Controls）

行政監控旨在確立規範數據處理的政策、程序和人員行為：

• 定期自動備份：進行頻繁且經過還原測試的備份，並安全儲存在異地或跨地域分佈的雲端環境中。
• 災難復原（DR）與業務持續運作計劃（BCP）：詳盡指引災難發生後營運及資訊科技系統應如何復原的整套協定。
• 員工安全意識培訓：提供定期且互動的培訓，教育員工識別釣魚攻擊、建立良好的密碼管理習慣，並謹慎處理敏感文件。
• 職責分工（Segregation of duties）：確保無人能單獨擁有未經審核的權力去修改系統參數、記錄交易及批准付款。

策略 APM 觀點：商業平衡：監控措施必須符合成本效益並與風險成比例。過於繁瑣的安全協議會拖慢日常營運、令員工產生挫敗感、削弱商業應變速度，甚至促使員工完全繞過正式系統（形成高風險的非正式變通方案）。必須時刻在風險防範與營運效率之間取得平衡。

核心要點：系統安全維護資訊的機密性、完整性與可用性。穩健的防護體系需要實體安全、技術屏障與貫徹執行的行政程序相輔相成。

---

3. 精實資訊與 5S 架構

甚麼是精實資訊？

你可能在先前的課程中接觸過精實生產（Lean production）——這是一種起源於製造業的管理哲學，核心是堅持不懈地消除浪費（非增值活動）。精實資訊（Lean information）正是將這一思維應用於機構的管理資訊系統（MIS）。

在許多企業中，管理報告就像一個凌亂不堪、堆滿雜物的閣樓。高級經理往往被厚達 80 頁的每月報告集所淹沒，裏面充斥着密密麻麻的數字表格、晦澀的營運指標和多餘的圖表。這種現象稱為資訊超載（Information overload）。

資訊唯有在能夠改善決策時才具備價值。多餘、不準確、延誤或無人閱讀的資訊不僅無法創造價值，反而會帶來組織成本、混亂與延誤。

資訊系統中的浪費類型

正如製造業存在實物浪費，資訊系統同樣存在數碼浪費：

• 過量生產（Overproduction）：編制無人閱讀或不需要的冗長管理報告。
• 等待（Waiting）：數據在發佈前，需耗費數天甚至數星期進行核對、彙編與簽批。
• 缺陷（Defects）：試算表中的數據輸入錯誤、公式出錯及過時的假設，導致管理層作出錯誤決策。
• 過度處理（Processing waste）：將相同的數據多次手動調整為不同的匯報簡報範本。
• 庫存／過度積壓（Inventory/Over-accumulation）：囤積數以 TB 計的過時、非結構化客戶或營運數據，而這些數據毫無分析或法規遵循價值。

運用 5S 架構評估管理資訊

5S 源自日本精實生產方法論。在績效管理領域，5S 架構提供了一套系統化的審計工具，用以剔除報告系統中的浪費，並評估 MIS 是否真正做到精實、高效且切合實際需求。

讓我們逐一探討每個「S」，看看它們如何應用於管理資訊：

1. 整理（Sort / Seiri）—— 剔除不必要項目

核心概念：區分必需與非必需品，將後者果斷捨棄。

在管理資訊的應用：
全面檢視所有報告、儀表板、試算表和數據收集流程。反思：「這項指標是否直接支持我們的策略目標或關鍵成功因素（CSFs）？」如果某項指標或報告純屬「知道也不錯（nice to know）」、僅是沿襲歷史做法，或從未被用作採取行動的依據，就應立即停止編制。整理能清除數碼雜物，只保留真正相關的資訊。

2. 整頓（Set in Order / Straighten / Seiton）—— 井然有序以供快速取用

核心概念：將必需品有條理地擺放，以便於尋找、使用及歸位。

在管理資訊的應用：
以合乎邏輯的方式建構數據和績效報告，讓決策者能在數秒內找到重要洞見。這包括：

• 設計清晰直觀的高層管理儀表板，重點突顯關鍵差異（variances）。
• 建立清晰的命名規範、標準文件夾目錄結構與可供搜尋的資料庫。
• 將高層次的策略摘要置於報告首頁，僅在需要深入展開分析時才附上營運明細。

3. 清掃（Shine / Sweep / Seiso）—— 清理並驗證數據

核心概念：保持工作環境清潔整齊並進行檢查，以維持良好的營運準備狀態。

在管理資訊的應用：
定期清理並核實數據。資訊系統必須透過以下方式落實嚴格的數據衛生管理：

• 識別並刪除重複記錄、失效賬戶及格式錯誤。
• 在數據輸入源頭驗證數據完整性（例如設定自動輸入檢驗規則）。
• 審查財務模型、計算公式和報告巨集（macros），確保運算準確無誤、毫無缺陷。

4. 清潔／標準化（Standardise / Seiketsu）—— 建立一致的規則與格式

核心概念：建立正式標準，確保前三個步驟的做法得以持續貫徹和重複執行。

在管理資訊的應用：
在全機構範圍內推行標準化的報告規範與指標定義。例如：

• 統一所有業務單位的 KPI 定義（例如精確定義何謂「活躍客戶」，或「毛利率」應如何計算）。
• 在所有分部採用一致的報告版面、色彩標記（例如紅黃綠交通燈預警訊號）及圖表格式。
• 制定固定的報告發佈日程與自動化生成工作流程，確保報告按時準確送達。

5. 素養／持之以恆（Sustain / Shitsuke）—— 建立持久紀律

核心概念：培養自律精神，透過持續檢討，使遵守規章制度成為日常習慣。

在管理資訊的應用：
將精實資訊轉化為組織根深蒂固的習慣，而非一次性的專案工程：

• 定期與終端用戶共同檢討管理報告，詢問：「這些報告依然實用嗎？有哪些內容需要新增、修改或剔除？」
• 為經理及分析員提供精實溝通與數據管治的培訓。
• 防止「報告膨脹（report creep）」——即隨着經理不斷要求臨時新增內容卻從不刪減過時部分，導致報告隨着時間推移變得越來越臃腫複雜的自然傾向。

總結：精實資訊的 5S 架構

• 整理（Sort）：剔除無用指標與多餘報告。
• 整頓（Set in order）：有條理地安排版面與儀表板，確保查閱毫不費力。
• 清掃（Shine）：清理數據並修正公式錯誤。
• 清潔／標準化（Standardise）：統一定義、範本及報告日程。
• 素養／持之以恆（Sustain）：持續檢討報告集，杜絕浪費死灰復燃。

核心要點：精實資訊確保管理層獲得具行動力的高質素洞見，同時大幅減少編制低價值、雜亂報告所耗費的時間與開支。

---

4. 融會貫通：考試應用與專業技能

APM 是一門考核高階應用能力的考試。考卷絕不會只要求你默寫數據孤島的定義或列出 5S 的內容。相反，試題會呈現複雜的商業情境，要求你評估系統、批判現行報告，或向董事會提出專業建議。

這些課題在考試題目中的呈現方式

• 評估現有報告體系：題目可能給出一份臃腫的每月管理報告集。你應運用精實原則及 5S 架構，解釋該報告集為何會造成資訊超載，指出哪些指標未能與 CSFs 掛鈎，並提出精簡的替代方案。
• 診斷分部間的衝突：情境可能描述兩個分部匯報自相矛盾的績效數據。你必須指出數據孤島和缺乏標準化指標是問題的根源，並闡明由此導致的次優化後果。
• 評估安全防護漏洞：一家正在擴展電子商務或雲端運作的企業，可能暴露出內部監控薄弱的問題（例如共用密碼、缺乏異地備份、沒有推行 MFA）。你必須評估其營運及聲譽風險，並建議具商業可行性的監控措施。

專業技能的具體應用

• 商業敏銳度（Commercial Acumen）：具備成本效益權衡意識。過度繁瑣的安全監控會令營運癱瘓；同樣地，清洗數據亦需耗費人力成本。提出的解決方案必須切合企業的商業現實環境與規模。
• 專業懷疑態度（Scepticism）：敢於質疑管理層的主張。若資訊科技總監聲稱其系統絕對安全或已完全整合，你應審視個案情境中的各項客觀證據（例如不明原因的系統停機、頻繁的試算表對賬、客戶數據外洩），對其說法提出合理質疑。
• 分析與評估（Analysis and Evaluation）：深入分析零碎數據對關鍵績效指標（如已動用資本回報率 \(\text{ROCE}\) 或客戶保留率）的負面影響，清晰說明科技管治不善與策略失敗之間的直接關聯。
• 溝通技巧（Communication）：以清晰扼要的語言提供建議，避免使用過於晦澀艱深的資訊科技術語。建議書應保持條理分明、客觀專業的基調，適合向董事會高層匯報。

---

本章快速測驗（自我檢測）

在進入下一章節前，請透過以下三條核心問題檢驗你的理解程度：

1. 為甚麼數據孤島的存在會令會計職能幾乎無法編制準確的預算與滾動預測？
2. 在維護系統安全方面，邏輯監控與行政監控有何區別？請各舉一例說明。
3. 面對一份長達 75 頁、董事抱怨根本無暇閱讀的每月管理報告，你會如何運用 5S 架構中的「整理」與「標準化」步驟進行改善？

第 3 題提示：運用「整理」剔除與策略目標無關的虛榮指標，從而大幅精簡頁數。運用「標準化」在各分部推行統一範本、一致的 KPI 定義，以及交通燈預警差異摘要。