歡迎來到企業風險管理 (Enterprise Risk Management, ERM) 的世界！

你好！歡迎來到商業金融學習旅程中最實用的一個章節。如果你曾好奇像國泰航空或匯豐銀行這樣的大企業，如何在不陷入混亂的情況下應對燃料價格飆升或全球疫情等重大不確定性，那麼你來對地方了。在本章中，我們不僅僅是著眼於可能發生的「壞事」；我們正在學習一套**戰略框架**，用以管理這些風險，確保公司能夠持續實現目標。別擔心一開始會覺得太過理論，我們會把它拆解成簡單、日常的概念！

將企業風險管理（ERM）想像成汽車的 GPS。它不僅僅是告訴你前方有交通擠塞；它還能幫助你決定是要選擇另一條路線、等待交通緩解，還是小心翼翼地穿過車流，以便準時抵達目的地。

1. 到底什麼是企業風險管理 (ERM)？

過去，企業採用的是「孤島式風險管理」(Silo Risk Management)。這意味著 IT 部門只看 IT 風險，財務部門只看匯率風險，各部門之間互不交流。而 ERM 改變了這一點。它是一種**整體性 (Holistic / All-in-one) 的方法**，風險是在整個組織層面進行管理的。

關鍵定義： ERM 是一個由企業董事會和管理層實施的流程，應用於戰略設定及整個企業，旨在識別潛在事件，並將風險管理在企業的風險偏好 (Risk Appetite) 範圍之內。

為什麼我們需要它？
1. 一致性 (Alignment)： 它將公司的目標（戰略）與其承擔的風險聯繫起來。
2. 更好的決策： 管理層因為了解所涉及的風險，能夠選擇最好的機會。
3. 減少突發狀況： 通過及早識別風險，公司可以避免疲於奔命地處理緊急情況 (Firefighting)。

快速回顧：孤島式管理 vs. ERM

孤島式： 「我只關心我部門的問題。」
ERM： 「我部門的風險如何影響整個公司的目標？」

2. ERM 的核心組成部分

為了讓 ERM 發揮作用，我們通常遵循一個框架（例如著名的 COSO 框架）。讓我們用簡單的術語來看看最重要的部分：

A. 內部環境與文化

這就是公司的「氛圍」。董事會是否認真對待風險？員工在報告錯誤時是否感到自在？這是其他一切的基礎。

B. 目標設定

如果你不知道自己要實現什麼，就無法管理風險！管理層必須先設定目標。風險簡而言之就是「任何可能阻礙我們實現這些目標的事物」。

C. 事件識別

公司會尋找可能影響其目標的內部和外部事件。這些可以是風險（負面影響）或機會（正面影響）。

D. 風險評估

我們對每一項風險都關注兩件事：
1. 可能性 (Likelihood)： 這件事發生的機率有多大？
2. 影響 (Impact)： 如果它發生了，它會對我們造成多大的損害（或帶來多少幫助）？

風險的數學公式：
\( \text{Risk Exposure} = \text{Likelihood} \times \text{Impact} \)

E. 風險應對

一旦我們了解了風險，該怎麼辦？我們有四種主要選擇（記住 TARA 助記符！）：
1. T - 轉移 (Transfer / Share)： 把風險轉嫁給別人（例如：購買保險或外判業務）。
2. A - 規避 (Avoid)： 停止導致風險的活動（例如：不在危險的市場發布產品）。
3. R - 降低 (Reduce / Mitigate)： 採取措施來減小風險（例如：安裝消防灑水系統）。
4. A - 接受 (Accept)： 什麼都不做，因為解決它的成本高於風險本身。

關鍵要點

ERM 並不是要消除所有風險。 而是關於選擇合適的風險水平，以實現你的目標。

3. 風險偏好 (Risk Appetite) 與風險容忍度 (Risk Tolerance)

這兩個術語聽起來很像，但它們是有區別的。這是學生經常感到困惑的地方！

風險偏好 (Risk Appetite)： 公司為了追求價值而願意接受的廣泛風險程度。這是一個高層次的聲明（例如：「我們是一家保守的銀行，對投機性投資的偏好較低」）。

風險容忍度 (Risk Tolerance)： 公司對於特定目標所能承受的具體、可衡量的變動範圍。（例如：「我們不能接受出貨進度延誤超過 2%」）。

類比： 想像你在節食。你的偏好 (Appetite) 是你想要健康飲食的總體願望（對垃圾食品的偏好較低）。你的容忍度 (Tolerance) 是你在感覺節食失敗之前，可以超過限制的精確卡路里數（例如：100 卡路里）。

4. 總風險 (Gross Risk) vs. 剩餘風險 (Residual Risk)

當你第一次識別出風險時，它被稱為固有風險 (Inherent Risk)（或總風險）。這是你在採取任何行動遏止它之前的風險水平。

在你實施控制措施（例如保安人員或軟體備份）之後，剩餘的風險稱為剩餘風險 (Residual Risk)（或淨風險）。

目標： 確保剩餘風險小於或等於公司的風險偏好。

\( \text{Residual Risk} = \text{Inherent Risk} - \text{Impact of Controls} \)

常見錯誤： 學生常認為剩餘風險應該為零。千萬別這樣想！ 要讓風險歸零幾乎是不可能的，而且成本太高。它只需要達到公司覺得舒適的水平即可。

5. 實施 ERM：好處與挑戰

為什麼不是每家公司都能完美地執行 ERM？因為這很難！

好處：

  • 資本效率： 通過更好地了解風險，公司可以減少「應急現金」的保留，並將更多資金投入到增長項目中。
  • 標準化： 公司裡的每個人都使用同一種「風險語言」。
  • 合規性： 許多監管機構（如港交所 HKEX）要求公司具備良好的風險管理。

挑戰：

  • 成本： 設置軟體和聘請風險管理人員非常昂貴。
  • 文化： 一些管理人員不喜歡被告知他們的項目具有「風險」。
  • 複雜性： 預測未來很困難，特別是「黑天鵝」(Black Swan) 事件（發生機率極低但影響極大的事件）。

你知道嗎？ 「黑天鵝」一詞源於過去人們認為所有天鵝都是白色的信念。當澳洲最終發現了一隻黑天鵝時，它改變了所有人的觀點。在 ERM 中，我們用它來描述諸如 2008 年金融危機或 COVID-19 這樣的事件。

6. 總結快速回顧

1. 什麼是 ERM？ 一種自上而下、全公司範圍的管理風險和機會的方式。
2. TARA 模型： 轉移 (Transfer)、規避 (Avoid)、降低 (Reduce)、接受 (Accept)。
3. 可能性 x 影響： 我們如何衡量風險水平。
4. 偏好 vs. 容忍度： 偏好是總體的「飢餓感」；容忍度是具體的「上限」。
5. 目標： 將剩餘風險保持在風險偏好範圍內。

鼓勵的話： 你剛剛完成了 ERM 基本原則的學習！雖然專業級別的考試會要求你將這些應用到複雜的商業場景中，但邏輯與我們在此討論的完全一致。記住這些核心原則，你將能夠應對最棘手的案例研究！