Author: 孫保忠 Steven Sun

Share

年末了，將風險管理納入明年策略規劃：介紹IAM 三步驟 （2/2）

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響

正規的評估中洋洋灑灑幾百項風險因子，專家人員不只必須根據嚴重性和頻率一個一個進行分類評等，還必須設計將質性轉量化數據的工具，幫助我們在進行風險管理的重要決策時，能夠維持客觀判斷。

上一篇文章中，我們談了風險管理三步驟“IAM”中的第一步辨認（Identify），進行了發散性思考、腦力激盪的工作，接下來，開始進入評等（Assess）的階段，將前一步驟的風險因子進行分類整理。

分類沒有固定法則，大公司有符合複雜體制的謹慎分類，小公司也有適合小規模的靈活架構，風險管理人員會依根據不同的組織體質和需求，去量身設計最適宜的分類架構。不過，以通用性而言，建議你可以用「嚴重性」和「頻率」兩個標準，對每一個風險因子做分類評估。

如我們之前評析晶華飯店事件時（見：兩次跌跤，給企業的公關與安全雙重警示）分享的風險評估矩陣：

 

可以看到，在這個風險評估矩陣裡面，直軸代表頻率，橫軸代表嚴重性，依照不同等級分成1至5分。將每一個風險因子的頻率和嚴重性級分兩兩相乘，最後依據分數得到四種風險類別：

一、藍色（分數1-3分）：「不常發生、影響很小」

二、綠色（分數4-9分）：「很少發生、影響很大」或「很常發生、影響很小」

三、黃色（分數10-15分）：「較少發生、影響很大」或「較常發生、影響很小」

四、紅色（分數16-25分）：「最常發生、影響最大」

分類之後，就可以開始淘汰、篩選風險因子，並決定該進行什麼處置。也就是本文介紹IAM三步驟中的最後一步：管理（manage）。

 

計算、判斷、制定防衛風險等級和應對措施

第一類藍色因子最溫和，如果你的風險管理等級沒有像商業巨頭Apple或國家安全機關一樣拉到這麼高（這點後面我們會更仔細說明），幾乎可以忽略這一類風險。

第四類紅色的風險因子，對你影響深重而且發生機率高，要不是會讓你稱霸一方的大紅機會，要不就會是讓你損失慘重的警戒危機，無庸置疑是你率先要思考、預先規劃利用的項目，至於可以怎麼利用、化危機為轉機，是另外一個課題，當另文再談。

而第二類綠色和第三類的黃色因子，才是最tricky、最講求風險管理專業的部分。請問：大家都知道要「防患於未然」，但是「防患」的等級到底要設定在哪裡？

舉一個例子來說吧，劉老闆是大稻埕迪化街的百年中藥供應商，擁有總計上百萬元珍奇稀有的中藥材，小心翼翼地鎖在地下室的冰櫃裡。劉老闆知道，停電是一個會造成資產損害的風險因子，謹慎負責的他，便未雨綢繆地買了蓄電池或發電設備。

果不其然，台北市發生大停電了。但當時劉老闆憑過去經驗判定，該街區最多停電不會超過5小時，因此把設備防衛等級設定在6小時，天知道這次停電卻不幸地足足停了8小時，冰櫃裡的珍貴藥材腐壞超過1/3，損失慘重。

很多人會將這類事件視為「運氣不好」，認定下次應該不會再這麼倒霉碰到了吧，摸摸鼻子就算了。但是，這些人沒有發現，（像劉老闆這樣）憑過去經驗「沒發生過」的判斷偏誤，以及缺乏客觀事實、嚴謹計算的假設，就像義大利那些在危險活躍火山旁居住過日子的民眾，都是一種盲目的「賭」。

現在，擺在劉老闆面前的大哉問是：該不該因為這次大停電，把冰櫃的防衛等級拉高到8小時？

劉老闆必須考慮的事情是，下次台北還會發生這麼長時間的停電嗎？如果會，又是多久之後可能會發生？如果要提高，意味著要準備更多電池、購買更好的設備、準備更多柴油．．．，當然都是有效的風險防治措施，但也都是必須支出的成本，值得為了這麼低頻率的風險因子投注嗎？

To be or not to be, 當中的平衡該如何拿捏，防衛等級該怎麼制定，正是風險管理的奧妙之處，也是專業人員訓練之所在。 在風險管理中，不會只有「停電」這一單項需要考慮，正規的評估中洋洋灑灑幾百項風險因子，專家人員不只必須根據嚴重性和頻率一個一個進行分類評等，還必須設計將質性轉量化數據的工具，幫助我們在進行風險管理的重要決策時，能夠維持客觀判斷。

 

管理風險的三大原則

受限於這篇文章的篇幅，我們無法談太深入專業的量化工具，歡迎有興趣的朋友來信切磋。但是，文章最後，在此倒是可以分享三個管理風險（特別是負面風險）的大原則：轉移、分散、控制。

1 轉移風險
基本邏輯：把可能會發生的損害，轉嫁給第三方

例如中藥行劉老闆曾經因為供應商delay，以至於他無法按時提供客戶需要的藥材，要付給客戶一筆違約賠償金，那麼，劉老闆可以考慮和供應商簽“back-to-back”契約，將所有因供應商疏失而產生的損失金額，轉由供應商自己負擔。或是像我們之前分享過的文章（見：中小企業必備：3個險種，分散90%負面風險）若你是科技業，擔心員工洩漏正在開發新產品的內幕消息，或是做跨境電商擔心商品在運送過程損壞超過國際理賠上限，可以購買員工誠實險、貨物運輸險，將風險轉嫁給保險公司。

2 分散風險
基本邏輯：不要把雞蛋放在同一個籃子裡

以供應鏈管理為例（請參考：談供應鏈的深度、高度和廣度），大忌是只有和單個供應商合作，因為一旦對方出現閃失（無法按時交貨、合約談不攏、坐地漲價．．．），你就整組供應鏈賠下去了。所以，同時在賽局裡維持2-3個供應商，分散貨源或下游，是較安全的做法，當Ａ廠有閃失時可以由Ｂ廠緊急cover，反之亦然；此外，維持2-3個玩家，也可以適時發揮議價、互相制衡的作用。

3  控制風險
基本邏輯：將發生風險的機率降低

例如說，一個中油小員工誤觸按鈕，居然就可以讓臺北電力大癱瘓，那麼為了避免類似情況再度發生，中油可以在員工按鈕前多一道甚至三道確認程序，降低員工誤觸的機率。停電還是小事情，其它衝擊更嚴重的風險，如滿載乘客在半空中飛行的飛機解體，就攸關機上每位乘客的寶貴性命。這意味著，航空公司必須對人員和設備執行最高的風險管理等級：例如，確保駕駛艙有正副二位機長（分散風險的概念），並且對兩人做行前清醒測試，或是即使飛機零件沒有任何異狀，只要達到一定哩程數就全部更換，都是嚴格控制風險的做法。

預先思考，制敵機先

這次分享就先到這裡。說了這麼多，其實說穿了，風險管理最重要的概念還是「提早準備」，很多狀況別人乍看之下是紅色危機，其實只要預先思考佈局，都是大紅轉機。預防勝於治療已經是老生常談，問題愈早處理，就愈好解決，只是我們總是忙碌於當前的業務，疏於危機預防；或者即使想及早處理，又擔心資源不夠，到頭來，反而付出更大代價。

建議你，在明年的策略規劃中納入風險管理項目吧！及早掌握先機，解決威脅，是踏實成功的不二法門。若需要專業協助，歡迎您隨時跟我們聯絡。

年末了，將風險管理納入明年策略規劃：介紹 IAM 三步驟 （1/2）

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響

一般組織通常將「策略規劃」和「風險管理」分成兩塊，交給不同的單位負責管理。像是手上握有威力強大的神器，它有兩個零件，但你始終以為這只是兩個零件、把它們分開使用．．．

從開站以來，我們在這裡和大家分享過許多風險管理的基本觀念：像是沒有目標就沒有風險管理（文章連結）；風險是分成正面的機會和反面的威脅（文章連結）；有時也分享在今天網路世界中，影響力越來越巨大的聲譽風險（文章連結）。

很快地，到了歲末， 又是各組織開始新的一年度annual planning的季節，是時候來談談「策略風險」這個議題，分享一些實務操作了。

我想先說的是，很多事情我們做了很久之後，在當中變得很習以為常、很理所當然，但一旦認真思考，就會發現頗不合理。

比如說：很少有組織在annual planning策略規劃的時候，會將風險管理這個項目也一併放入會議流程當中。

這像什麼呢？這就像假設我們Xilienz團隊明年的目標是攻上玉山山頂，年終開會決定了要走哪一條路線，但對於明年政府封路管制的消息釋放、保險要在什麼時候買、什麼季節有比較高的機率下雨、有沒有其他團隊可能和我們撞期、在特定季節哪個路段會遇見哪些美麗或危險的野生動物．．．，卻一概不知、不問、不關心。

為什麼會這樣？

原因是，一般組織通常將「策略規劃」和「風險管理」分成兩塊：「策略」交給行銷、業務部門去訂，而「風險」就給財務、法務經理去管。再用一個比喻來說，你手上有一件強大神器的兩個零件，但你始終以為這只是兩個零件、把它們分開使用，這是多麼可惜的浪費？換言之，把進攻性質的策略和輔弼性質的風險管理分開考慮，等同讓他們分開作戰，牽制彼此能量。

因此，所有的組織都需要學習如何貫通風險管理跟策略規劃，用策略的意涵去看待並管理風險。

策略風險管理（SRM）：定期更新的連續程序

「策略」是達成目標的途徑，而去衡量控制在途中可能會出現、會影響你達成目標概率的內外部事件和狀況，幫助你更快、更輕鬆達成目標，就是策略風險管理（Strategic Risk Management）。

策略風險管理和策略的規劃、執行密不可分，但它並不是那種做好一次就可以收工回家的事情，畢竟全球環境變動頻繁，攸關的風險有可能過了一夜就徹底改頭換面。策略風險管理是一種必須定期更新的連續程序──就像你電腦裡的作業系統，以及世界上每一件會讓你真正獲得收穫的事一樣。

要多久算是「定期」？我的建議是，和一般風險管理工作一樣，要是情況順利，一年跟著策略規劃做一次、兩次也許就夠了。但是，萬一出現意料之外的突發狀況，例如iPhone問世翻轉世人對智慧型手機的想像，假如你是Nokia，就必須立刻進行全面的風險評估。

那麼，策略風險管理要進行的工作有哪些？

最骨幹的三步驟是IAM：指認（Identify）、評估(Assess)、管理(Manage)，以下我們會一一來說明。 

Identify：全面雷達掃瞄風險因子

步驟一是指認風險因子。「策略」是達成目標的途徑，因此，有目標就會有策略；在你確立策略後，風險管理人員會進行稱為「雷達掃描」的工作，為你把通往偉大航道上所有潛在的、攸關的風險因子掃描出來，列在雷達圖上。操作這步驟工作的方法有很多種，我們在這裡就挑最簡單的一個，用一張圖來跟大家說明。

依照這張圖，將風險因子分成四大類，一一進行地毯式的偵查搜索：

第一類（直接風險）： 衝擊市場地位，直接影響目標達成率的風險因子。

第二類（間接風險）：外部環境，如政治、政策法令、大環境經濟…等不直接相關，但會影響目標達成率的風險因子。

第三類（可控內部管理）： 內部管理面，可以組織內部各單位自行決定、控制，會影響目標達成率的風險因子。

第四類（不可控意外事件）： 人力不可控制的意外事件（incident），自然事件等會影響目標達成率風險因子。

像進行腦力激盪一樣，這階段請盡可能發散思考、天馬行空，只要一想到就立刻寫下來。先不用理會這件事的機率有多低（如彗星撞地球），或是規模有多小（如飲水機濾心過期），只要你腦中出現任何一件事會影響到你的策略，就值得寫上去。

萬一你一時之間不知如何放開來思考，那麼，有三個動腦的出發點可以提供操考：

  • 歷史經驗法。過去在我身上發生過。
  • 同業經驗法。過去在同業身上發生過，或是產業圈的案例。
  • 情境模擬法 (IF法則)。如果台灣網路電纜突然斷掉，要怎麼辦？如果大地震造成停電一週，我們可以應付嗎？如果類似SARS的嚴重傳染病蔓延，30%員工被隔離在家一周，公司是否依然能夠運作？

在此順道向大家提一個重要的觀念：曾經有人向我反映，用情境模擬做風險管理，對於商業組織來說過於不切實際、勞民傷財。但其實，從風險管理的角度來說，第三點反而才是最值得著力的——而且頂尖商業組織都會特地針對情境模擬做實地演練。原因很簡單，三個字：「灰犀牛」。和機率極低、但會帶來毀滅性衝擊的黑天鵝相對，所謂灰犀牛，是那些其實顯而易見、卻被故意視而不見的危機。你覺得類似SARS的大規模高傳染性呼吸道疾病發生是電影情節嗎？試問當年的H1N1今天都演化成H10N9了，類似的大規模怎麼可能不會再發生呢？它必然會發生，只是時間早晚的問題，你要在事情發生前開始主動規畫，還是事情發生後再倉皇反應，是每個用心的領導者都應該主動思考的問題。

好的，一般來說，在第一階段「辨識Identify」步驟結束，你的紙上雷達圖會掃到300到500個風險因子。該拿這些風險因子怎麼辦？下一步該怎麼做呢？

下一篇文章，我們就要進入的是 IAM裏「評估（assess）」和「管理（manage）」的程序。

又見孩童在校遭襲擊：從安全管理觀點談校園安全

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響
校園安全健檢台灣校園安全事件北投女童割喉內湖小燈泡

是時候，我們認真思考校園安全這件事了．．．

不幸的，又見 校園傷童 事件了。前天台南有一位20歲女子，帶著7把美工刀，到一家幼兒園廁所割傷4歲小朋友的手臂，當場被逮後，昨天竟然又到附近的國小，以同樣手法犯案，用刀劃傷7歲男童。與2015年北投文化國小女童割喉命案一樣，兇嫌都是躲在學校廁所，伺機傷害手無寸鐵、毫無反抗能力的學童，而且是無特定對象的隨機犯案。

作為一名以 校園安全風險防治 為己業的人，看見又有小朋友在校園裡被攻擊受傷了，除了不捨，也一時湧上許多話想說，和大家分享安全管理的一個最重要基本觀念。

台灣 校園安全事件 接連發生，而且頻率越來越高。根據台南市教育局的說法，學校與警方訂有「維護校園安全支援約定書」，已經加強孩童上下學期間學校周邊的巡查和門禁管理，並檢視校園安全防護和緊急應變機制，同時與衛生局合作聯繫，掌握社區內危安因子。

但即使如此，還是有小朋友在學校裡面遭到攻擊。雖然校方每次都承諾會加強防範，但是，從安全管理的角度看來，無論警方再怎麼加強巡邏，圍牆設備再滴水不漏，類似事件還是極可能再度發生．．．

因為這些措施都忽略了安全管理中最基本的觀念：阻隔。

何謂阻隔？

所謂阻隔，是指將「保護對象」和「可能造成傷害的人事物」進行隔離。可以分為時間阻隔和空間阻隔：

A. 空間阻隔

基本上，校園圍欄或大門進出管制的存在，都是為了進行隔離；但現在強調「友善校園」，開放社區居民進入活動，便較難在空間上隔離「閒雜人等」。即使如此，開放範圍最好和小朋友的活動範圍分開，避免場域重疊、接觸。

B. 時間阻隔

或者，如果學校開放校外人士進入學校活動，那麼，開放時間必須和有小朋友在校的時間錯開，必要的話，兩個時段之間也可以像電影院一樣進行清場。

我們細想這幾宗校園孩童受傷事件，可以發現，這些兇嫌進入校園，幾乎有如入無人之境，根本沒有人把他們攔下來！如果在制度、環境上落實阻隔的觀念，看到 不應該出現的人，在 不應該出現的空間、不應該出現的時間 出現，都會比較容易警覺、第一時間處置。但如果沒做好阻隔，任警衛再小心、家長再擔心，任大家再步步驚心，都於事無補。

誰應該被阻隔？

但誰是不應該出現的人？也就是說，誰是要被阻隔的 「陌生人」？

專業安全管理中定義的 陌生人，是沒有被「授權」進入校園的人。他可能是教職員的朋友，也可能是孩子的親戚。因為，只因為他是學校的家長，或是常見的面孔，就不會是犯罪人嗎？

舉前陣子的事件為例，有位女老師跟男朋友發生感情糾紛，男朋友就來學校找女老師，跟警衛說他是ＸＸＸ的男朋友，居然就順利進入了學校，後來就在校園對女老師進行攻擊。雖然受害對象是女老師，但是，設想另外一種情況，這名憤怒的男子也可能會傷害學校裡脆弱的學童，不是嗎？

校園安全健檢

陌生人進入校園，對孩童安全造成威脅。（Photo: Kenming Wang/Flickr）

只要是不被授權進去學校的人，都屬於陌生人，都屬於「不安全」的存在。更何況現在社會壓力頗大，某些人在心智低潮的時候，會讓他「失去理智」，失去原有的行為準則或道德立場，讓他在有意識或是無意識的狀態下產生犯罪行為。而這些人，可能是一個不熟悉的親切鄰家大哥哥，如鄭捷，或是你熟悉的某些鄰舍。

怎樣做到阻隔？校園安全健檢

怎麼樣做到阻隔呢？其實，每間學校的狀況都不一樣，位置地點、學生人數、人口組成．．．都是會影響到校園安全風險的評估項目。因此像台南教育局全體一套適用的「維護校園安全支援約定書」，在我看來，是非常不切實際的，更不用說校園安全演練經常淪為形式，只剩下重複演練單調劃一的腳本。

唯一能杜絕類似傷害事件再發生、最有效的防治方式，是各校延請專業人員進入校園第一線，進行完整的 校園安全健檢，以國際級安全標準，實地檢測  校園安全四大環節，量身打造安全補強設計，找到弱點，才能有效防範。

校園安全健檢

最後，引用著名安全管理專家Don Rondeau說的話：「我們必須要認清，我們的孩子上課學習的環境，是非常容易受攻擊的。」

加強校園安全，不是要把小孩生活學習的環境變成監獄，而是要有效保護小朋友，讓他們快樂、健全的學習長大。台灣的小朋友一天有超過六、七個小時待在學校裡，重要的校園安全，必須要靠校方、專業人士、家長和小朋友，大家一起共同鞏固。

（Front photo:Kelvin Wang/Flickr）

小公司也要做風險管理嗎？好處是什麼？一次解答風險管理三大哉問

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響
風險管理

2017年已近尾聲，很多公司開始為接下來的一年制定年度大計了，在擬定計畫目標的同時，你想過和目標攸關的風險嗎？

一直以來，當我在各式商務場合分享策略與風險管理的重要性時，都會遇到專業人士前來，向我詢問各種問題。時間一久，我發現有特定幾個問題經常出現，也許代表著大家普遍都對此感到疑惑。藉著本期電子報，我將這些問題整理了一下，挑選出了最具代表性的三個問題，一次向大家好好地說明清楚。

1. 我是個小公司，也要做風險管理工作嗎？

簡答：趨吉避凶

詳答：

根據我的了解，會丟出這個問題的人，多半都誤以為 「風險」是一件不好的東西，只有規模夠大的公司才會遇到風險。因此，在這裡我們要釐清的是，在最廣泛的定義上，風險是「和你有關的不確定性」。它可以是正面的，也可以是負面的；正面稱為機會，反面則稱為威脅。

而全面掃描潛在風險因子，辨識出哪些不確定性和你有關，評估正反面和衝擊影響， 就是風險管理人員的高度專業工作。這些專業人員的價值，不只在於提供一份詳盡的報告書，而是協助你將機會極大化，威脅極小化，提高組織達成目標的概率。

2. 我想做風險管理，第一步是？

快問快答：危機意識

詳答：

人是一種「心存僥倖」的生物。氣象報導說會下雨但就是沒帶傘，科學研究總說喝酒致癌但從不覺得和自己有關，全國離婚率近半卻自認自己的婚姻會一生一世．．．心理學家說這叫做樂觀偏誤，經濟趨勢學者稱它叫灰犀牛，不管它叫什麼，它們都在試圖告訴你一件事——對於那些已經存在、而且明擺在眼前的威脅，我們常常視而不見。

風險管理始於危機意識的建立。大自新科技發展、 景氣波動、國家政策，小到員工監守自盜、對手挖角、機房停電，都是遲早會發生的「灰犀牛們」，一個能帶領公司前進成長的領導者，應該要對這些問題預先思考、主動防治解決，而不是等到它終於發生後再匆忙應付，將事件責任推給下屬，或外部環境。

3. 做風險管理的好處是什麼？

快問快答：贏得先機

詳答：

老麥肯錫們常說，找不到解決方法，是因為問錯了問題。 這話對於風險管理也適用：對於危機，我們該問的問題，不是它「會不會來」，而是它「什麼時候會來」和「用什麼方式來」！

身體要定期做健康檢查，公司也是。風險管理就像為公司進行「未來健檢」，幫助你提早發現日後會發生的問題——畢竟，大家都明白「預防勝於治療」，問題愈早處理，就愈好解決， 否則，最後往往要付出慘痛代價 。

在實務上， 沒有任何一個頂尖風險管理專家能夠幫你把風險降到零（誰能停止太平洋熱帶氣旋形成？或預測下一波新型高傳染性病毒爆發傳染？ ），這也就是說，危機會發生（請記住這五字箴言），但如果公司能夠採用專業人員和工具來訓練團隊預做準備，那麼，當危機發生時，就能使衝擊降到最低，讓企業營運迅速回到正軌，你搶到的黃金時間有多長，在接下來的日子勝過競爭對手就有幾倍。

2017年已近尾聲，很多公司開始為接下來的一年制定年度大計了。我建議務必在制訂策略和目標的同時，將攸關的風險因素，同時納入年度計畫的制定流程之中，及早辨識市場變化、評估風險，以掌握先機與因應威脅，達事半功倍之效。

亡羊補牢沒有錯，但是要付100倍學費…可能讓企業王國一夕崩盤的「聲譽危機」(2/2)

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響

蓋洛普研究，要吸引一個新客戶，要付出的成本是維持老顧客的六倍。TQC的經驗法則指出，要彌補外部錯誤，成本是預防錯誤的100倍．．．

當社會期待和企業作為之間有落差，而且這個落差被揭穿、呈現在大眾眼前，棘手的「聲譽危機」就發生了。建議的緊急處置方式，如上篇品牌聲譽是一種大眾期待…讓企業王國一夕崩盤的「聲譽危機」之一提及：

(1)成立專責的危機處理小組；

(2)預先控制媒體標題；

(3)評估「落差」發生在哪裡？有多大？要怎麼補回來？

彌補錯誤，是預防錯誤的成本100倍

 然而，不管事後的緊急危機處理做得再好，都比不上平時的風險管控。

蓋洛普研究，你要吸引一個新客戶，要付出的成本是維持老顧客的六倍。TQC的經驗法則指出，你要彌補外部錯誤，成本是預防錯誤的100倍。

「聲譽危機」一旦發生，消費者信心動搖，對企業的傷害就造成了；事後的補救，只是花費更多「學費」去亡羊補牢。要阻止那些原來可以避免的「危機」發生，要在不可避免的危機發生時，有力量扭轉乾坤、讓原本的危機變成你逆風而上的「機會」，並沒有方便之道，平時穩紮穩打的風險管理，才是不二法門。

通常越是天才的領導人，危機處理能力就越差。執行長Munoz面對聯航聲譽危機，發布「提火加油」的email，即使事後改口，聯航的市值仍然蒸發200億，也斷送自己的職涯前途。

危機有多順利解決，端看平時有多注重管理風險

怎麼做呢？原則上來說，我們可以從防守面，和積極面進行：

一，在「防守」面上，定期訓練不同層級的核心管理人，以情境演練的方式，讓風險變成一種「可以預期」的情況，強化應付高度壓力情況的能力，避免危機發生時手忙腳亂、越說越錯。

二，平時提升企業、符合品牌觀感。前面提到，「聲譽危機」會發生是因為利害關係人的期待和企業實際作為有差距，這樣的「落差」就是潛在風險。請記住：「總有一天潮水會退」，不只營造出的聲譽會滑落到符合實際的程度，還會附加消費者的嚴厲懲罰。

三，「期待落差」之所以出現，有時候並不是企業宣傳假象的緣故，也可能是因為消費者喜好、市場期待轉變的關係。例如現代消費者越來越重視環保、勞工權益、循環經濟議題，連帶使越來越多企業正視自己的社會責任。時代更迭、市場規則也會轉變，企業經營者的責任，就是隨時注意到轉變的跡象，想辦法讓自己跟上時代。

四，在企業內部設立一個管理聲譽風險的專門人員。這個人要負責定期市場調查，監控外界和內部對公司的期待變化，並在危機發生時，擔任最重要的內部協調腳色。如果你去問一般企業管理人，「你們誰負責管理聲譽風險」？通常他們會回答你：CEO。

但我想，這通常代表的是沒人負責這個重要工作吧？

 

 

 

提早規劃準備，面對好聲譽風險，讓公司化危機為轉機：

最Smart的準備方式：租一個經驗豐富的風險管理長

提早進行演練！公關危機企業內訓課程

像敵人一樣思考：模擬實戰「紅隊作業」

品牌聲譽是一種大眾期待…可能讓企業王國一夕崩盤的「聲譽危機」(1/2)

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響

聲譽危機的其中一個特徵是，起初看來可能只是一個內部處置不當的小漩渦，轉眼間，卻在媒體、社群平台上變成一個巨大強烈的風暴，而且在未來的數年間將持續壟罩公司，讓公司繼續付出代價．．．

還記得今年（2017）年四月美國聯合航空事件嗎？美聯因為超賣機位、又不當使用暴力把旅客硬拖下機，被乘客拍下PO上網，引發全球民眾憤慨。週二股市一開市，聯航股價便失控暴跌，全日累跌超過1.1%（最多超過4.4%），等同2.5億美元在一天內蒸發。

並不誇張。現代企業80%的資產是無形的，拿我們人手一機的iPhone來說，2016年蘋果的市值6170億美元，但在資產負債表上目前資產和物業廠房等傳統有形資產加起來，卻只有21.6%。超過3120億美元的資產，來自蘋果這間科技公司在利害關係人心目中的市場價值，獨一無二的品牌形象、強烈的投資人信心、和極緊密的顧客關係。

Apple用戶黏著度高，富比世品牌價值排行榜連續七年奪冠

無形資產可以為公司吸引更多人才、培養更緊密的顧客關係，還能同時帶來更多銷售業績，進一步再提高企業資產，是很有力量的正向循環。但於此同時，看不到又摸不著的無形資產也特別脆弱，只要一次危機，可能就全部毀於一旦──

特別是毀在來勢洶洶、越來越具破壞性的「聲譽危機（Reputation Risk）」手裡。

讓企業王國一夕瓦解的聲譽危機

「需要做很多好事累積聲譽，但要失去它，只消做一件壞事。」對現在的企業而言，班傑明富蘭克林300年前說過的這句話，比任何時候都要適用。年初聯航的例子，其實是企業「聲譽危機」的最佳範例。

什麼是聲譽危機呢？廣義來說，是企業因為道德、安全、品質、創新度…等不名譽事件，導致企業品牌價值受損，而連帶造成利潤損失、增加營運或管制成本的風險。

聲譽危機的其中一個特徵是，起初看來可能只是一個內部處置不當的小漩渦，轉眼間，卻在媒體、社群平台上變成一個巨大強烈的風暴，而且在未來的數年間將持續壟罩公司，讓公司繼續付出代價。

那也就是說，隨著品牌價值等無形資產的比重越來越高，網路社群平台快速傳播消息的推波助瀾，「聲譽危機」對現代企業來說越來越普遍，也越來越棘手，造成的後果，更是越來越嚴重。麥肯錫季報指出，2010到2017年間，美國《富比士》100大企業被媒體報導的標題中包含「危機」二字，比過去十年整整多了80%。另外一份針對亞太地區200位風險管理人的內部調查統計，聲譽危機在去年（2016）是所有風險／危機中，讓企業蒙受最嚴重財務損失的一項。只要想想聯航的例子，便不難理解為什麼。

當聲譽危機發生時．．．

閉上眼睛想像，你站在辦公室裡，周遭是人多嘴雜、錯亂不一的外界訊息。媒體記者開始出現在你的辦公室大廳。股東開始打電話氣急敗壞地質問你。更糟的是，你的競爭對手會把這次事件視為搶走消費者的大好機會，扭轉你們之間的競爭局面。

在聯航事件後，網友惡搞西南航空的宣傳台詞：「我們打擊競爭對手，不是你」。顯示當一方蒙受聲譽危機時，就是另一方奪取市場的大好良機。

你會怎麼做？一般來說，越是表現良好的企業、越被視為天才的管理者，危機處理能力往往就越差，因為欠缺經驗的緣故。

因此，你該怎麼做？首先，盡快成立緊急應變小組，對眼前狀況與威脅進行沙盤推演。其二，既然聲譽風險往往是媒體/社群平台上推波助瀾的後果，所以務必將心力多放在媒體操作上，分享一個黃金原則：與其被動反應今天的消息報導，不如主動改善明天的頭條。

第三，「聲譽」從廣義來說，是一種大眾觀感和期待。會發生聲譽危機，往往是因為公司的實際作為，和社會期待發生了落差。舉例來說，說以客為尊的航空公司，卻發生了拖旅客下機的事件；打著「健康安心」招牌的頂新製油，應該為我們的食品安全把關，卻把餿水油送進購買產品的消費者肚子裡。想像一下，在「果粉」心目中被視為移動式裝置創新之神的蘋果公司，如果有一天，被踢爆作品抄襲，會對這間公司的傷害有多大？

所以，這時候除了(1)成立專責的危機處理小組，(2)預先控制媒體標題，管理人還必須評估「落差」有多大？要怎麼補回來？最好的方式當然是提升自己去符合外界期待，初期可能會產生一筆可觀成本，但長遠來說，會加強無形資產，增進正向循環；如果可行性低，就只好降低外界的期待。

下篇快速連結：

亡羊補牢沒有錯，但是要付100倍學費…讓企業王國一夕崩盤的「聲譽危機」之二

不改變，就掰掰：用樂高打造商業模式，迎接下一個企業盛世

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響
商業模式 business model canvas Lego serious play

商業競爭瞬息萬變，你的商業模式還是一成不變嗎？

Xilienz 創辦人&CEO |  孫保忠Steven

你可能也察覺到了，「商業模式」這個詞，在這10年間突然形成了一股全球熱潮。先是在新創圈被用來打造組織和探索利基的「神器」，然後漸漸蔓延到大牌企業，成為龍頭巨擘們，因應新時代、新科技、新市場的思考工具。

因為，在這個新時代，不改變，就掰掰。商業環境變化，跟光速一樣快，而消費者口味，變得比光速更快。

假使企業摀住耳朵不聽，遮住眼睛不看，不管規模多大、資源多雄厚，都等著被時代的巨輪碾壓淘汰。而懂得調適的小公司，雖然規模遜色、資源短缺，卻因為可以順應時代，因而殺出重圍，最後勝出。

大家都掛在嘴邊卻沒人了解的商業模式（Business Model）

所以，商業模式到底是什麼意思？

如果真要追究，商業模式概念最早的淵源，可以追溯至管理學之父彼得杜拉克（Peter Drucker）1994年寫的一篇文章。雖然在這篇文章中，杜拉克談的是「商業理論」，完全沒有提到「商業模式」四個字（畢竟當年這詞兒還沒真正走紅嘛），但是，字裡行間的意義，都圍繞著現在大家掛在嘴邊的商業模式概念。

從杜拉克的觀點來說，商業模式就是一連串有關「為什麼人家要付你錢？」的假設，而這些假設從「市場（markets）」關懷出發，包含辨識消費者以及競爭者，以及這些人的價值和行為。

「它們是科技及其趨勢動態，是一間公司的長處和弱點。」杜拉克說。

你想過沒有，為什麼消費者要花錢買你的產品/服務？

而在這十年，由於新創產業崛起，創新、創意、創業意識形態風行，能夠一次搞定組織、市場、成本的「商業模式」因而爆紅；關於這個詞的解釋，於是也衍生許多不同說法。

有人認為，商業模式就是你的獲利模式；有人說，商業模式就是你的生存本事；也有人說，商業模式，就是一間公司創造、傳遞、及獲取價值的手段工具。這些話都只講了前面一半；只講了概念，而沒有講做法。是的，公司要獲利才能生存，但問題是，你要如何獲利呢？

到底應該要怎麼做？

沒有人知道該怎麼做．．．

直到「商業模式畫布」(Business Model Canvas)出現

直到商業模式畫布（Business Model Canvas）出現，大家才比較有具體的著力點。

由《從零到１》的作者Osterwalder提出這套方法，對許多只聽過名詞不知道內涵、或想建立商業模式卻不知從何下手的創業者/公司來說，無異於是汪洋裡的一盞明燈。Osterwalder的方法很簡單，就是在一張紙上，畫出九個格子，分別填入公司對應的「假設」:

  • 1) 價值主張：你提供的價值到底是什麼？滿足了市場什麼需求？解決了甚麼問題？
  • 2) 核心活動：公司交換價值最主要的活動。是製造產品？服務？
  • 3) 顧客關係：和客戶維持良好關係的方式。是一對一服務？還是組織社群？
  • 4) 核心資源：創造公司價值所需的資源。人、財務、智慧、產品．．．等企業資產。
  • 5) 通路渠道：和市場傳遞、交換價值的通路。是電商？實體店面？O2O？
  • 6) 關鍵夥伴：你的商業網絡，供應鏈上下流，或是策略聯盟
  • 7) 目標客層 : 你鎖定要接觸或服務的族群。不同族群有不同需求、不同策略。
  • 8) 成本結構：成本結構分析。最重要的問題是，你是成本驅動還是價值驅動？
  • 9) 收益流：你將公司創造的價值，換取現金的方式──最基礎，也最簡單的，如何收費？

這個九格畫布的中心──企業一切的起點──在於「你到底創造了什麼價值」，可以拿出來和市場交換。也就是杜拉克所說的，「為什麼人家要付你錢」。

先確定這點，再進一步研擬市場環節（畫布右半部：顧客關係、通路渠道、目標客層）、企業本身環節（畫布左半部：核心活動、核心資源、核心夥伴），以及，確立立足的根本（成本結構和收益流）。

別的地方找不到的「樂高商業模式」2.0

一般坊間使用商業模式畫布，多半是運用筆、便利貼等工具，去建立全新的商業模式，或是檢視企業現有模式，根據眼下大局變動，做出因應的修正、調整。

但很少人知道，「樂高」也可以拿來建立和調整商業模式，而且比原有的筆和便利貼，還要好用。

聽到樂高，你也眼睛一亮了嗎？是的，這就是樂高的魔力。

樂高不只賦予人單純的樂趣，它還具有無窮的商業潛力。運用國際認證「樂高認真玩」方法，進行商業模式建立／檢視／修正，不但能大幅提高討論人員的參與度(誰能抵抗樂高？），還能善用樂高積木的數量、大小、顏色、擺放的角度．．．將抽象的討論議題高度視覺化，更方便理解思考。

樂高積木可以將抽象議題視覺化，更容易理解討論

最厲害的是，它結合了「樂高認真玩」的所有優點──將樂高磚塊由「玩具」昇華為一種獨特的溝通「工具」，透過進入潛意識的雙手活動，讓參與的人更自在地溝通分享，解放內在能量；讓參與的組織打破慣性思考，激盪未知，創造「積極共識」。

利用樂高認真玩，持續修正商業策略

創業和經營，對管理者和對團隊夥伴來說，都是一場和時代競走的刺激冒險。如果你已經踏上這段旅程，或者正要踏上這段旅程，都要記得做好萬全準備，隨時保持機動活力。

利用樂高認真玩，無論是創新、檢視或修正商業策略，都像幫公司穿上一雙好鞋，更靈活、更敏捷，將同一行人拋在腦後，重點是－－它還很好玩！

體驗樂高的商務潛力，6/28 樂高認真玩 體驗說明會 「認真玩樂高：用樂高積木凝聚團隊，打造靈活商業策略！」，活動即將額滿！
搶訂最後名額：https://goo.gl/7IeHea

馬雲：「未來３０年世界變化非常快，而且會非常痛苦」 CEO必修的風險競爭學

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響
馬雲，中國綠公司，未來30年，痛苦比快樂要多，新製造新金融新零售新技術新能源

另外一個職責，是看到未來有什么災難和麻煩。如果你能知道社會一定會出這樣的麻煩，並且你提前做好準備，就會很成功…

風險管理專家 | 孫保忠

「未來30年，整個世界的變化會超過大家的想像，」穿著常見的合身白襯衫，第一顆扣子難得敞開，領口別著麥克風的馬雲說：「未來30年，社會矛盾的經歷，各行各業都會受到巨大的衝擊。」

今年將滿53歲的馬雲，身為阿里巴巴、支付寶、淘寶創辦人，被電商店家暱稱為「馬爸爸」的他，兩天前，站在中國綠公司年會的舞台上，對著台下美、加、英、日等國大使團，以及千名中國大企業家，發表演說。

「5新」產業，掀起顛覆性的商業革命

不改變，就等死，是馬雲整場演說的宗旨。以網路為基石而發展的各種新開發，將在接下來的３０年，將以各種面貌與方式，為各行各業帶來震盪、甚至顛覆性的變動。

當中有「５新」產業將對人類世界造成最強烈衝擊：

  • １）整合線上線下的新零售；
  • ２）從「標準化」過渡到「個性化」，並結合工業4.0的新製造；
  • ３）從服務20%少數大客戶，轉向服務80%廣大客戶的新金融；
  • ４）行動晶片、行動作業系统（Mobile OS）方面的新技術；
  • ５）當網路成為基石，雲端數據就是未來所有企業的新能源。

看好機器人產業前景、兩年前挹注大筆資金入股日本軟銀的馬雲，認為未來機器人發展的方向，就是要讓機器人「做人類做不到的事情」，這麼做，「才有機會讓機器人永遠成為人的合作夥伴，而不是人類的最大的對手。」

他同時直言，美國對AI的發展方向理解有誤：「如果我們自己對大腦都不了解，你讓機器去學習，我認為是有問題的。」

「未來2、30年這個世界的變化超過所有人的想像力，而且絕大部分人是很倒霉的」

雲端，大數據，AI，工業4.0，行動系統技術，還有「馬爹爹」未提及正在突飛猛進的VR/AR技術…21世紀才剛過不到20年，人類對未來30年的想像，已經超越科幻電影情節。

然而在使用者日常生活的方便底下，是舊有商業邏輯的徹底顛覆，和越來越劇烈痛苦的產業汰換陣痛：「對你來看，如果你感到悲哀，它永遠是個麻煩，如果你覺得是個機會，它會是你不可多得的機會。」馬雲說。

一如我們多次提醒，伴隨新科技急速演進的攪擾，全球化商業環境的變動，只會越來越劇烈、越來越難以捉摸。在這樣的環境裡，誰能最快做出反應，誰就是贏家，而能最快做出反應的人，就是預先準備的人。

「未來2、30年這個世界的變化超過所有人的想像力，而且絕大部分人是很倒霉的。」馬雲在4月23日中國綠公司年會上直截了當地說。(Credit: 新浪網)

當今CEO最核心的領導力：掌握機會和利用威脅

在這波時代劇烈汰舊換新中，拒絕當「倒楣的絕大部分人」，最重要的能力，就是看見未來，提早做準備。風險既是威脅，也會是機會。今天任何一家公司的CEO，他掌握危機的能力，將是左右企業未來是向上躍昇、還是向下沉淪的關鍵。

「我覺得，做CEO主要是兩件事，一是看未來的機會，二是看未來的災難。絕大部分的老闆，如果看不到未來的機會，沒辦法激勵你的員工；另外一個職責，是看到未來有什么災難和麻煩。如果你能知道社會一定會出這樣的麻煩，並且你提前做好準備，就會很成功。」

馬雲這番話，非常貼近風險管理的概念，在此提供給所有老闆們參考：「當全體員工以及所有的人都開始提心吊膽，都對未來沒有信心的時候，你必須看到希望所在；所有的人都在唱響未來的時候，你必須看到災難所在．．．」

馬雲解釋：「(因為)任何一個災難和麻煩，都有可能，是巨大的機會。」

 

校園安全國際注目度升高．．．暗藏危機的台灣國中小校園

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響
校園安全，小燈泡，北投女童

台灣的小朋友一天有超過六、七個小時待在學校裡，校園環境，是他們成長、生活、呼吸的場所，校園環境安全至關重要…

安全管理專家｜孫保忠 Steven

是時候，所有關心小朋友安全的家長或老師，仔細思考孩子在校園面臨安全威脅的可能性，以及校園防範機制了。

從北投小二女童在校內廁所遭到割喉殺害，到剛屆滿一年的內湖小燈泡事件，台灣公共安全和校園安全，近年頻頻亮起紅燈，這些新聞對社會大眾來說尚於心不忍，更何況是孩子的父母？

我自己就是兩個國小小朋友的爸爸。這些小朋友受害的社會新聞，帶給我的衝擊，不亞於任何父母親──事實上，殺害北投女童的龔姓殺人犯，在那天早上，原本是想闖入西湖國小行兇，蹲在170公分高的圍牆牆墩上，鬼鬼祟祟探頭探腦時，被小朋友和家長發現，才慌忙離開去尋找其它下手對象。

看到這則新聞，任何身為父母的人都會不禁想：如果當時缺少了這位格外留心、具有「安全意識」的家長，事件的後續發展如何？被害人是否就是西湖的小朋友了？就像嫌犯說女童「她倒楣遇到我」？接下來，可不可能他在隱密處犯案、無人發現，因而有2-3個孩子受害？

監視器、保全人員…這些表面安全，並不是真的安全

於是，我開始留心研究調查台灣中小學校園的安全管理。

現在台灣校園普遍都有監視設備、保全人員（雖然其中少數可能是保全爺爺），一般父母親如果沒有仔細觀察和思考，可能認為有了這些東西，孩子的安全就可以放心了，但從我的安全管理經驗來說，這些設備和人員，如果沒有搭配正確的觀念、定期的巡檢，是無法發揮任何防備效果的。有幾個原因：

  • 「存在」不表示「能用」

只要是機器，都需要保養、維護、更新，可惜的是雖然很多學校都有編預算買安全設備，卻沒有編預算進行維護。所以，往往在保固期過了、設備出狀況時，學校方沒有進行更換，甚至根本沒有察覺──比方說，雖然你可以在螢幕上看到監視畫面，但是硬碟早已失去儲存的功能，萬一事件發生，根本無法提供任何證明資料。

  • 有監視「設備」不代表有人「監視」

更多的問題，不是硬體的不足，而是來自人的管理。監視設備在安全管理中的功能，通常是偏向事發後的釐清處置，至於「當下發生」或「即將發生」的安全危機，是否能夠及時制止，必須倚靠監看人員、巡邏人員的配合。然而，學校是相對來說比較安逸的環境，通常不會有大事，監看設備畫面的保全人員，只要一不小心，就會處於放空或是忽略的狀態。恐怕假如真有人在畫面中行兇，只要畫面占比不要太大，都無人覺察。

學校是個相對安全的環境，安全管理仍舊不容許片刻鬆懈。(Photo: ajari_flickr)

  • 因為「不方便」而關閉設備：

為了培養小朋友開放、健全的身心，前一陣子台灣很流行低圍欄或沒有圍欄的「開放校園」。而有些開放校園雖然設置了電子圍籬設備，但可能經常有小狗小貓們穿越，誤觸警鈴，導致鈴聲大響、勞師動眾，後來覺得徒增行政困擾，便把警報器關閉，不只經費付諸流水，更把孩童的安全暴露於危險之中。

這些問題共通的根本原因，其實是我一直不厭其煩強調的：”Awareness”的重要性。真正要落實一個安全的環境，除了設備維護，流程與機制的設計執行，和保全人員辨識危機的能力，更有賴校園所有成員的安全意識與警覺心，就像西湖國小那位見義勇為的家長一樣。

孩子一天超過六個小時在學校裡：至關重要的校園安全

台灣的孩子一天待在學校至少六、七個小時起跳。(Credit: Tony Tseng_flickr)

Rockfiled安全管理公司的總裁Don Rondeau，本身也是一名知名的安全管理專家，訓練過國土安全局人員、經手處理過DC校園槍擊事件。針對校園安全問題，他曾表示，我們必須要認清，我們的孩子上課學習的環境，是非常容易受攻擊的。學校必須針對校舍加強安全措施、進行風險防治，這麼做，不代表大人要把小孩生活學習的環境變成監獄，而是要讓安全設計不干擾學生的學習，但仍能有效地保護他們。

台灣的小朋友一天有超過六、七個小時待在學校裡，校園環境，是他們成長、生活、呼吸的場所，至關重要的校園安全，必須要靠校方、專業人士、家長和小朋友，大家一起共同鞏固。

進一步了解校園環境安全風險

 

像競爭對手一樣思考，並發動攻擊：歐美企業都在用的「紅隊作業」

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響
紅隊作業, Red Team Operation, 企業安全和安全管理, 實體滲透

美國國安局有一支菁英部隊，叫做「老虎小組（Tiger Team）」，這個部隊專門「自己人打自己人」，對美國軍隊發動無預警攻擊，以測試自家人的防衛、應變、安全管理能力．．．

「大多數企業根本不知道自己安全弱點在哪裡。」安全駭客Chris Nickerson說。

有一個下午，他打給美國名人圈最高調炫富的鑽石商「比佛利傑森（Jason of Beverly Hill）」，在電話裡聲稱自己是高檔生活時尚雜誌Crave 的記者，下個月要製作比佛利傑森的封面專題，要求進入比佛利傑森總部拍攝訪問。

隔天，Chris順利進入比佛利傑森公司內部，近距離訪問到比佛利傑森的CEO。

一個月後，Chris帶著兩名同夥，趁著陽光明朗的周末，在人來人往的比佛利精華地段，侵入比佛利傑森在商業大樓裡、戒備森嚴的公司總部。他們最後成功偷走了保險箱裡數百萬美元的鑽石，以及比佛利傑森所有好萊塢名人富人等客戶資料，包括銀行帳戶。Chris還大搖大擺地在CEO辦公桌上留下一張三人行竊得手後對著鏡頭大笑的拍立得照片。

但Chris並沒有被起訴。

相反地，他獲得了一筆比佛利傑森給他的豐厚酬勞。

誰來告訴我，應該怎麼做？

這是怎麼一回事？

話說，美國國安局有一支菁英部隊，叫做「老虎小組（Tiger Team）」，這個部隊專門「自己人打自己人」，對美國軍隊發動無預警攻擊，以測試自家人的防衛、應變、安全管理能力。

而Chris和他的夥伴，就是民間企業的老虎小組，又稱作「紅隊（Red Team）」──他們進行的紅隊作業（Red Team Operation），是接受企業委託的安全駭侵（hacking），嘗試攻破那些自稱安全的企業大樓和系統，找出防護弱點，然後提供改進方案。

就在Chris受比佛利傑森安全主管秘密委託、佯裝記者進入比佛利傑森公司訪問CEO的那個午後，他其實帶著隱藏攝影機，將公司內的監視器位置、室內布局、甚至在訪問過程中將CEO的生日和公司內部線索，都摸得一清二楚。他甚至還利用請櫃檯小姐幫他印一份USB文件當作藉口，在比佛利傑森公司的電腦下載後門程式，破解該企業所有安全密碼。

red team, 紅隊作業, chris nickerson

在美國電視節目Tiger Team, Chris示範趴在地上爬行，躲過比佛利傑森的動作感測監視器。(Credit: Youtube截圖)

在每次入侵「成功得手」後，Chris 都會在事後製作一份安全檢討報告書，告訴企業經營者他突破保安的方式，以及應該怎麼做，才能用最低的成本、最高的效益，讓安全系統更加完備──比方說，為企業門禁卡加一個只要區區幾百塊台幣的護套，就可以避免門禁卡資料被有心人士竊取。

Chris Nickerson不只被視為安全駭客界的最後良心，他的行動，也是民間紅隊作業的始祖。

企業嚴重自我認識不足的三大原因

就像Chris說的，大多數企業根本不知道自己的安全弱點在哪裡。但之所以如此，有三大原因：

  1. 安全設施防君子，不防小人

很多企業認為裝設安全系統，就「安全」了。事實上，警報器、防盜系統等安全措施雖然是必要的，卻完全阻擋不了「積極、有計畫」的入侵。

就拿比佛利傑森的例子來說，就算企業總部布滿密密麻麻的監視器、動作感測警報器、安檢雙層門、尖端保險箱…這些安全措施，還是輕而易舉地遭到Chris破解。就如另一位紅隊專家Jayson E. Street說，一般實體的安全設施「完全阻擋不了一個決心要入侵的惡棍。」

  1. 我會中樂透，他會遭小偷：大腦認知的欺騙伎倆

人，通常不願意仔細思考可能會發生在自己身上的倒楣事。認知科學家Tali Sharot指出，大多數人都有「樂觀偏見（Optimism Bias）」，亦即，在「已經被告知」事實數據的情況下（例如樂透得獎機率是千萬分之一，而離婚率是1/2），大多數人仍然會高估發生在自己身上的好事機率，低估發生在自己身上壞事的或然率。更別提人類認知中錨定效應、驗證偏誤等認知陷阱，使得像分析師等企業人員，很可能在一開始評估時，就給出具有誤導性的數據。

  1. 沒有壞消息，是最糟的壞消息：群體盲點

一個企業主管在會議上分享了一個想法、宣布一個決策，獲得全體一致無異議通過。這時，企業主感覺棒呆了。

但他並不應該。熟悉紅隊作業的人都深知，沒有壞消息背後通常有兩種原因：其一，它意謂著企業組織文化已經成功滲透到每個員工身上，每個人用習慣的文化，習慣的邏輯，習慣的語言，進行習慣的工作。以至於沒有人有能力，跳脫思考框架，查覺到潛在的重大風險。

其二，員工不敢表達反對意見的。多數企業經營者都高估了自己給予「員工表達反對意見」的空間，或者，好像有一個匿名申訴管道就可以解決這個問題，殊不知此舉只是暴露──甚至加強──「無法容忍公開異見」的企業文化。哈佛商學院教授Amy Edmonson則說得一針見血：「從來沒有人因為不說話而被開除」，向上司報告可能風險，員工就必須冒著失去工作的風險。

任何層級組織內部，都有溝通盲點。美國參謀長聯席會議主席Martin Dempsey回憶，他正式升任4星上將的那天，有另外一個四星上將向他道賀:「從現在開始，再也不會有人和你講真話了。」

用更強的力量反擊

沒有人可以當自己的裁判，為自己的表現評分；要求企業組織可以不靠外力自行產生有價值、有建設性的異見，更是不切實際。最理想的做法，還是請「組織外部」專業人士協助進行，校園、建築物等安全實體滲透，或是企業重要決策前的商戰模擬，讓沒有組織束縛的外部團隊，運用解放手段，和可靠的技術經驗，協助企業組織評估潛在風險。

就像美國知名大律師Dudley Malone說，「我從不曾從那些和我意見相同的人身上，學到任何東西。」為企業進行紅隊作業，讓企業經營者能夠在傷害發生前，先用「用敵人的角度思考」，學敵人的方式攻城，才能知道，怎麼把自己的牆蓋得更牢。