老板的风控雷达：一张矩阵，看穿全公司的地雷区

陈威廷在北榄府经营一家塑胶注塑成型厂「威盛塑胶」，给罗勇府一家日系汽车组装厂代工内饰零件，已经合作八年，订单一直很稳定。他也习惯了埋头苦干的经营方式——把产品做好、按时交货，就是他心目中最重要的事。

去年雨季，他唯一的ABS原料供应商——一家设在马来西亚柔佛的工厂——仓库因暴雨积水受损，原料交期直接跳票。威盛塑胶的产线停摆六个星期，他才发现自己从来没有问过「如果这家供应商出事怎么办」，更别说找一家备用供应商。组装厂等不了，把订单转给了另一家能稳定供货的对手，八年交情一次归零。

事后复盘会上，财务经理翻出去年的审计报告（对应第5讲「简易审计」的内容），里头其实提过「原料来源过度集中」，但当时被列为「观察事项」，没人排优先级去处理。陈威廷这才明白，问题不是没发现风险，是公司从来没有一个机制，把风险摊开来、排出轻重缓急——这正是风险管理要补上的漏洞。

为什么

泰国中小企业普遍是老板一个人身兼战略者和救火队长，靠经验和直觉处理眼前的问题，很少系统性地回头问一句「公司现在最怕什么事发生」。这种做法公司小的时候还能应付，规模一大、供应链一长，任何一个环节出状况都可能拖垮全局。

美国COSO委员会（Committee of Sponsoring Organizations）在2017年修订的《企业风险管理——整合战略与绩效》框架就指出，风险管理不是出了意外才去补救，而是要嵌进「治理与文化、战略与目标设定、绩效、复核与修正、信息沟通与报告」这五大环节里。换句话说，风险管理不只是财务部或审计部门的事，是老板要带头把「万一发生怎么办」变成公司日常讨论的一部分。

对应第3讲提到的「内控三道防线」，一线员工往往最早察觉异常——交期延误、客诉增加、关键人员抱怨——但如果公司没有一个把这些信号汇总、分类、排序的机制，异常信号就会像威盛塑胶的案例一样，停留在「有人知道」却「没人处理」的状态，直到真的出事。

怎么做

第一步：先把风险摊开来，别急着打分

找两三位跨部门主管（业务、生产、财务、人事）坐下来，花一小时头脑风暴，把公司可能面对的风险摊成一张清单，先别急着评分。可以按五大类盘点：财务风险（汇率波动、客户集中度过高、应收账款拖欠）、运营风险（单一供应商、关键设备老化、核心人才流失）、法规合规风险（呼应第4讲合规地图，劳动法、环保法规、税务申报）、自然灾害环境风险（泰国雨季水淹、停电）、声誉风险（客诉扩散、社交媒体负面评价）。威盛塑胶这一步就会如实列出「单一原料供应商」——只是过去八年没人正式写下来过。