金穗農產的冷汗聚餐：一張自查表，抓出公司藏了8個坑的IT破口

吳日成在泰國佛統府（Nakhon Pathom）經營「金穗農產」已經十五年，主力做米製品外銷歐洲和日本，員工一百二十人。每個月的潮州會館聯誼餐會，他向來只是應酬吃飯，直到那一晚，兩則消息讓他整晚沒睡好。

隔壁桌一家做成衣外銷的老闆訴苦，公司電腦被勒索軟體鎖住，訂單資料、客戶對帳單全部打不開，交期硬生生延了三週，歐洲客戶直接把訂單降級、砍了三成配額。另一位在附近北欖府（Samut Prakan）做汽車零件批發的朋友則說，會計離職三個月後，公司才發現她的系統帳號從沒被停用，銀行匯款資料被人偷偷改過，一筆貨款近四十萬泰銖匯進了陌生帳戶，追都追不回來。

吳日成邊聽邊冒冷汗，因為他忽然發現，自己完全答不出三個問題：公司的ERP誰有權限改價格和匯款資料、離職員工的LINE群組和雲端硬碟是不是還登得進去、上一次備份是什麼時候「真的」還原測試過。他做了十五年生意，帳目每年有會計師簽核，IT卻從來沒有人系統性檢查過。

為什麼

會有這種盲區，不是吳日成不用心，而是IT風險天生就分散在好幾個環節裡，沒有人負責把它們串起來看。用內部控制界常講的COSO三道防線邏輯來看：第一道防線是各部門自己把關（業務自己顧好客戶資料、會計自己顧好帳款），第二道防線是專責的風險/IT管理職能定期複查，第三道防線是獨立的內部稽核定期抽查。多數泰國中小企業財務面第一、第三道防線都有（記帳靠會計師、年度靠稅務簽證），但IT幾乎永遠缺第二道——沒有人的工作是「定期把系統選型、變更、帳號、備份、資料保護、影子IT這幾件事攤開來一起看一遍」。結果就是：每個環節個別看都有人管一點，但沒人對「整個循環」負責，漏洞就藏在環節與環節的縫隙裡，直到出事才被發現。

怎麼做：建一張跨環節的健檢表

把前面七講的內容，收斂成一張表，橫向列出六大檢查類別，縱向填三個欄位：現況、風險燈號（紅黄綠）、下一步負責人。六大類別分別是：系統選型是否有基本合約與資料歸屬條款、變更是否留痕可追、帳號權限是否跟著在職狀態即時更新、備份是否定期演練復原、個資保護是否符合泰國PDPA的老闆責任、LINE辦公等影子IT是否有基本治理規則。每一格只問一句話：「如果今天出事，我們能不能在一天內講清楚發生了什麼」——答不出來就是紅燈。