老闆的風控雷達：一張矩陣，看穿全公司的地雷區

陳威廷在北欖府經營一家塑膠射出成型廠「威盛塑膠」，幫羅勇府一家日系汽車組裝廠代工內裝零件，已經合作八年，訂單一直很穩定。他也習慣了埋頭苦幹的經營方式——把產品做好、準時交貨，就是他心目中最重要的事。

去年雨季，他唯一的ABS原料供應商——一家設在馬來西亞柔佛的工廠——倉庫因暴雨積水受損，原料交期直接跳票。威盛塑膠的產線停擺六個星期，他才發現自己從來沒有問過「如果這家供應商出事怎麼辦」，更別說找一家備援供應商。組裝廠等不了，把訂單轉給了另一家能穩定供貨的對手，八年交情一次見底。

事後檢討會上，財務經理翻出去年的稽核報告（對應第5講「簡易稽核」的內容），裡頭其實提過「原料來源過度集中」，但當時被列為「觀察事項」，沒人排優先順序去處理。陳威廷才明白，問題不是沒發現風險，是公司從來沒有一個機制，把風險攤開來、排出輕重緩急——這正是風險管理要補的洞。

為什麼

泰國中小企業普遍是老闆一個人身兼策略者與救火隊長，靠經驗和直覺處理眼前的問題，很少系統性地回頭問「公司現在最怕什麼事發生」。這種做法在公司小的時候還能應付，規模一大、供應鏈一長，任何一個環節出狀況都可能拖垮全局。

美國COSO委員會（Committee of Sponsoring Organizations）在2017年修訂的《企業風險管理——整合策略與績效》框架就指出，風險管理不是意外發生後才補救，而是要嵌進「治理與文化、策略與目標設定、績效、複核與修正、資訊溝通與報告」這五大環節裡。換句話說，風險管理不只是財務部或稽核部門的事，是老闆要帶頭把「萬一發生怎麼辦」變成公司日常討論的一部分。

對應第3講提到的「內控三道防線」，第一線員工往往最早察覺異常——交期延遲、客訴增加、關鍵人員抱怨——但如果公司沒有一個把這些訊號匯總、分類、排序的機制，異常訊號就會像威盛塑膠的案例一樣，停留在「有人知道」卻「沒人處理」的狀態，直到真的出事。

怎麼做

第一步：先把風險攤開來，別急著打分數

找兩三位跨部門主管（業務、生產、財務、人資）坐下來，花一小時腦力激盪，把公司可能面對的風險攤成一張清單，先別急著評分。可以照五大類盤點：財務風險（匯率波動、客戶集中度過高、應收帳款拖欠）、營運風險（單一供應商、關鍵設備老舊、關鍵人才出走）、法規遵循風險（呼應第4講合規地圖，勞工法、環保法規、稅務申報）、天災環境風險（泰國雨季淹水、電力中斷）、聲譽風險（客訴擴散、社群負評）。威盛塑膠這一步就會照實列出「單一原料供應商」——只是過去八年沒人正式寫下來過。