文／季平, PMP

越來越多民眾在出國前購買旅遊平安險、旅遊不便險，以因應海外突發疾病與急難救助、醫療費用、班機延誤或行李損失、行程取消等等「意外」衍生的財損及災損。雖然單次數百、一兩千元的保費最後極有可能「保了個寂寞」，但「萬一」意外不幸降臨，小額保費就能打造一張防護網，帶來多重保障，這就是風險管理(Risk Management)。

風險無所不在，誰能確定明天與意外哪個先到？
身處不確定性高、科技與數位連結的AI大環境，企業或供應鏈已然面臨或將要面對的惡意攻擊風險只多不少，強化風險管理勢在必行！2023 ISC2 Global Achievement Awards(Asia-Pacific)得獎者、2024全球頂尖敏捷CEO獲獎人吳明璋指出，風險管理的目的在於化解危機，將「可規避」風險、成本及損害最小化，過程包含定義、分析、評估與因應風險，以及擬定災後重建計畫，必須權衡優先順序及災害比重，才能做出最適切的判斷。從美國911事件上千名員工緊急疏散（2001年）、台灣SARS事件（2003年）、日本福島核電廠海嘯（2011年）、日本G公司駭客入侵（2011年）、美國知名L零售業者駭客入侵（2013年）、英國O航空公司電腦當機（2016-2017年）、美國C公司資安事件造成全球性客戶問題（2020年）、歐洲能源集團U公司資安事件（2022年），到百年一遇的新冠疫情、俄烏戰爭掀起的新地緣政治衝突……，樁樁件件都帶來巨大損害，也再再突顯風險管理的重要。

以吳明璋與元智大學教授合作、第一個分享於《哈佛商業評論》中文版的資安個案—台灣本土螺絲大廠嘉持實業—為例，該公司主力客戶含括全球知名家電與電腦品牌大廠，生產線自2021年起導入IoT技術，卻在導入數位系統後不久遭到俄羅斯駭客「幻影旅團」入侵，並要求公司支付相當於新台幣3,000萬元的比特幣以贖回客戶資料庫、財務報表等重要資料。駭客攻擊導致生產線全面停擺，停工的業務損失至少8,000萬元起跳，連帶波及客戶端，但是支付贖金的結果不僅止於財損，也會損及商譽，甚至有觸法風險。

台灣不少中小企業「隱形冠軍」在數位轉型或資安防護的發展腳步仍在起步階段，面對駭客入侵多半選擇支付贖金了事，但是身為上市櫃企業的嘉持實業要考量的層面更廣，這時，除了成立資安應變小組，制定內外部溝通原則及因應方針，還可以引進外部風險管理專家，協助公司確認整體損害範圍與影響程度，並依事前擬定的應變計畫著手復原系統，避免公司再次受到攻擊，此外，宜審慎評估相關利害關係人可能受到何種程度的潛在影響、與客戶端緊密聯繫，並依法向主管機關呈報或發布重訊。當然，嘉持實業也可以選擇支付贖金以降低損失，事後再強化資安防護，或者斟酌支付部分贖金，以恢復生產為優先考量。

「幻影旅團」只給嘉持實業三天的時間決定支付贖金與否，如何在短短的72小時內做出決策，恢復產線並將損失及內外部利害關係人受到的影響降到最低，考驗企業的風險評估能力以及應變能力。類似這樣的案例在AI大環境下只會越來越多！浸淫災後復原及風險管理領域多年的吳明璋認為，工安與資安風險是企業需要面對的兩大難題，除了安全預防意識，企業界應該擬定「緊急復原對策」及營運持續計畫(Business Continuity Planning, BCP)作為因應，尤其在駭客及數據安全問題層出不窮的AI時代，未來全球將有更多企業將資安與工安議題納入管理環節。

風險管理＋災後復原千絲萬縷，有賴迭代逐步完善
然而，救災視同作戰，資安或工安意外一旦發生，由上而下(Top-Down)的瀑布式(Waterfall)管理顯然無法快速因應爭分奪秒的緊急狀況，原因在於科層式管理流程「戰線拉得太長」，以嘉持實業來說，「幻影旅團」不會佛心大發讓公司按照明確階段及嚴謹流程推動「風控專案」，一一拆解地雷，這時，敏捷式(Agile)管理的Scrum架構更有可能即時、有效地協助風控或緊急應變團隊以少量、累進迭加的方式提交成果，根據階段狀況彈性調整應變作法，協助企業「災後重建」。

「當地震、火災或駭客入侵等危機出現之前，企業就應該事先規劃不同的營運持續計畫(BCP)，也就是備案，一旦危機真的出現，才能即刻啟動事件回應(Incident Response, IR)，也就是危機管理(Crisis Management)。」吳明璋說。事件回應(IR)指的是識別、修復及復原作法，主要目的在於減少損失，比方工廠產線停擺後可以透過轉單因應、半導體設備廠發生火災後可以透過災後重建降低損失。他建議企業應該擬定IR策略並建置緊急應變團隊，以確保企業在突然面對危機時可以快速、正確地做出適切回應。企業在確定事件範圍、影響層面及衝擊程度後可以採取修復措施，至於相關回應人員可以進一步調查事件肇因，控制及修復受波及的系統或產線，以便在危機解除後儘速恢復正常運作。

2024年7月，資安服務公司CrowdStrike引發史上最大規模的全球IT當機事件，許多企業因此陷入混亂，醫院手術及大量航班被迫取消，金融、運輸、零售、媒體系統都出現大當機、系統崩潰或服務中斷，影響逾850萬台微軟Windows設備。其中，達美航空(Delta Air Lines)損失尤為慘重，該公司五天內便取消了7,000架次的航班，影響130萬名乘客，經濟損失逾五億美元。

救災敏捷化，積極倡導敏捷韌性學ABC(AgileBizCont)
本科為機械系的吳明璋於2004年學習專案管理，並於同年跨入災後復原領域，他處理過不少棘手案件，橫跨工安與資安領域。2019年之前，他多半透過傳統的瀑布式專案管理執行營運持續計畫(BCP 1.0)及災後復原計畫(Disaster Recovery Plan, DRP)，2023年接觸敏捷並取得CSM(Certified Scrum Master)認證後，他便開始積極推動資安治理先導教學，希望吸引企業董監事的注意，透過關鍵利害關係人加速推動「救災敏捷化」，接觸客戶橫跨銀行與科技業，並於同年受邀成為「2023全球頂尖敏捷CEO大獎」的評審及與談人。

過去，他習於運用瀑布式管理方法執行各項專案，接觸Scrum後，發現敏捷的透明度、靈活性與調適性特色更適合風險管理及災後重建領域，尤其災後重建動輒數年之久，不同階段的任務目標與後續因應措施不同，加上涉及的內外部利害關係人層面甚廣，更需要藉由敏捷手法聚焦關鍵問題、快速回應及調整修正，解決一個棘手問題後再往下一個階段邁進，透過漸進式的迭代成果逐步落實BCP與DRP。2024年他將敏捷觀念及作法導入營運持續計畫(BCP 2.0)，積極向高科技客戶倡議敏捷韌性學ABC(Agile Business Continuity Management)，甚至成立敏捷韌性學ABC社群，並於同年取得「2024全球頂尖敏捷CEO」殊榮。

他坦言：「災害管理或災害復原領域非常適合導入敏捷的Scrum架構，畢竟災害發生後的緊急應變及復原關鍵在於『動員』。」他也認為，企業做好風險管理、危機管理、災後管理或災害復原方能展現韌性，迎接永續，而「韌性(Resilience)」管理對企業來說會是一門重要課題。因此，他在2019年出版了一本融合企業災難案例及企業韌性的入門經典《鋼索上的管理課》，從韌性、風險管理、營運持續(Business Continuity)與災後復原(Disaster Recovery)等等角度出發，探討不同產業別的工安與資安議題，並於2024年書籍再版時加入敏捷管理概念，分享累積多年的風險管理與敏捷管理實務經驗，反響熱烈。

Before(Normal)&After(New Normal)，Mindsets大不同！
時間、範圍與成本是專案管理的三大要素，但是在風險管理與災後復原的過程中，三大要素並非一成不變，而是動態改變，因此，應變團隊需要面對的是移動式目標(Moving Target)，過程中需要納入的利害關係人也不斷快速變化，非常考驗應變團隊的能動性(Agency)。吳明璋笑說：「災害發生後，大家都是摸著石頭過河，並須靈活快速地調整與修正各項作法，所以更適合透明、靈活與調適性兼備的敏捷手法，Scrum架構有助克服瀑布式管理的盲點。」

他進一步說明：「瀑布式管理比較適合災前風險管理，敏捷手法更適合災後風險管理，不同背景下，對應的Technology/People/Process不盡相同。」災害尚未發生前，少不了建立風險管理機制、擬定風險清單及應變措施等文書作業(Paper Work)，也就是「演練階段」的基礎，一旦風險成真甚至風險屬性與類別不在清單之列，新的風險議題可能與「演練／演習／兵推」內容脫鉤，或流於形式化，這時更需要敏捷管理接手，進入「變動的(Dynamic)實戰階段」。「災前災後需要應用的專業技術(Technology)不變，但是災情發生後，流程(Process)與利害關係人(People)可能發生改變，這時比較適合採用敏捷手法管理團隊、教育訓練及與各方利害關係人溝通。」吳明璋說。

他認為，災後非正常管理的情況下，敏捷Mindsets可以成為很好的Starting Point，在災後新常態(New Normal)下導入新觀念、新文化，一旦所有人都接受敏捷Mindsets，就能更好地執行新的Paper Work流程。簡單來說，災害發生前比較適合由上而下(Top-Down)的金字塔管理模式，但災害發生後需要第一線人員即時回報狀況，更適合由下而上(Bottom-Up)的運作模式，此外，金字塔式的垂直回報機制對於警急應變小組來說也不若Bottom-Up或橫向溝通那般具有機動性。

風險與災難是變革的開始，「專案管理敏捷化」更有機會掌握先機
瀑布式專案管理與敏捷手法最大的不同在於，前者傾向於「年度」計畫，也就是拉長戰線，一年「做一塊蛋糕」，營運持續計畫(BCP)很容易流於One Man Work，結果往往是一翻兩瞪眼，而敏捷手法則是分階段進行，短則一至三個月可以做出模型與成效，等於是二至三個月期間或更短時間內先做出一片蛋糕，而且在執行BCP的過程中，客戶可以隨時加入，更能發揮Team Work自組織的即戰力。

不過，他並不認為傳統專案管理可能式微，理由是瀑布式專案管理屬於穩定的金字塔架構，這套管理模式的核心價值重視流程與SOP，在災難發生前的「承平時期」具有一定的穩定作用，而災難與救災本身卻是不穩定、動態改變(Dynamic)的，雖然敏捷手法在災難發生後更具有靈活性，但是若能與傳統的專案管理方式及其SOP相結合，也可能達到截長補短、優化流程與提高執行力的綜效，打造混合式(Hybrid)管理的新典範。

實務上，不同產業別與企業型態的公司治理、組織架構、企業文化各異，即便敏捷手法與Scrum框架在風險管理及災後復原上有其助益，卻不代表企業內外部利害關係人可以完全接受並習慣這套運作模式。對此，吳明璋認為需「順勢而為」，在導入敏捷的過程中，他傾向於將敏捷原則落實於管理上，而非硬性導入敏捷作法與Scrum框架，要求大家依照新的SOP按表操課。

他建議想導入敏捷或Scrum架構的企業，不要想一步到位或存著「萬事皆敏捷」的想法，透過敏捷教育訓練、觀念推廣，加上企業主事者態度支持，可以慢慢影響企業內外部的利害關係人，比方他會利用敏捷作為Team Building、Change Management的亮點，吸引不同客戶及合作夥伴的注意，讓大家更了解風險管理及災後復原敏捷化可以帶來哪些助益。一旦敏捷Mindsets成為另一種新常態(New Normal)，導入敏捷就會變得越來越容易。不過，他不忘提醒，在推動敏捷從0到100的過程中，企業要先釐清自己的專案及業務性質為何，不要為了敏捷而敏捷，非敏捷專案不需要硬是套入敏捷模式，也不要抱持「敏捷就是快速與捷徑的代名詞」這類想法，如此才能避免出現實務與理論落差。

取得「2024全球頂尖敏捷CEO」殊榮後，吳明璋的下一步是積極整合敏捷與韌性管理，讓敏捷觀念及作法廣泛應用於資安與工安風險領域，此外，他將持續推動敏捷韌性學ABC(AgileBizCont)並經營相關社群，藉此逐步擴大敏捷影響力。