Dashboard 變紅之後，誰要做決定？
一家公司可以有完整的風險政策、每月 dashboard，也可以列出一長串 controls，這些東西放在一起仍然不一定能回答一個很實際的問題：警訊出現後，下一步是什麼？
假設最大的企業客戶開始延遲付款，應收帳款集中度一路升高。業務還能不能接新單？財務要不要改付款條件？什麼情況要升到 CFO？原本要求高風險客戶簽約前完成的 credit review 有沒有真的做？如果有人核准例外，之後找不找得到紀錄？
這些答案如果每次都要臨時開會拼出來，公司缺的不是另一份 risk policy，而是把「風險邊界、監控、決策與控制」接在一起的做法。
而且不同風險本來就不能共用一個模糊分數。Credit risk、liquidity risk、market / FX / interest-rate risk 的 exposure 來源與傳導方式不同，需要看的指標與 mitigants 也不同。把它們全部壓成「整體風險 7.2 分」，很容易失去真正可管理的資訊。
所以風險治理的第一個問題應該很具體：公司正在承擔什麼 material exposure？現在的位置在哪裡？接近哪個邊界時，誰需要介入？
四種常被混在一起的邊界
談 Risk Appetite 前，先把四個概念拆開會省掉很多後面的誤會。
Financial Stability Board 的 Risk Appetite Framework 原本面向金融機構，因此這套用語不是所有公司的通用法規。不過它對 capacity、appetite、limits 與 risk profile 的區分很實用。
- Risk capacity 是企業客觀上最多能承受多少風險，再往外走可能碰到資本、流動性、法規或持續營運限制。
- Risk appetite 是管理層為了追求目標與價值，願意承擔哪些風險、承擔到什麼程度。
- Limits / tolerance 把較高層次的 appetite 往下翻成可以監控與操作的邊界。
- Risk profile 描述企業此刻實際承擔的 exposure。
COSO 的 Risk Appetite guidance 也把 appetite 放在「為了追求價值，願意接受哪些類型與多少風險」的決策脈絡裡。它不適合被縮成一個單獨數字。
例如「我們的 risk appetite 是 moderate」對第一線主管幫助不大。主管還是需要知道：哪個 exposure 已經靠近邊界、需要通知誰、誰能接受這段風險，以及要不要先降低 exposure。
可以把 capacity 想成最外層的承受範圍；appetite 是公司選擇在這個範圍裡怎麼經營；limits 把選擇變成可監控的線；risk profile 則讓你知道現在已經走到哪裡。
Appetite 要怎麼進到日常營運
COSO 把 appetite 往下接到 tolerance、measures、indicators 與 triggers。實務上，可以從一個風險主題一路問到可執行的層次。
先決定公司願意為了什麼目標承擔這項風險，再設定比較具體的 limit 或 tolerance。接著挑選能反映 exposure 變化的 indicators，最後才是 threshold：當數值接近或跨過邊界時，要啟動哪一個管理動作。
很多 dashboard 是倒過來做的。團隊先蒐集一百個 metrics，加上紅黃綠，再回頭問這些顏色代表什麼。這時最常見的缺口不是資料量，而是沒有人說得出某個 metric 對應哪個 appetite、哪條 limit，以及變紅後由誰處理。
Threshold 也不適合從別家公司直接抄。資本結構、客戶組合、現金需求、商業模式與承受能力不同，同一個百分比對兩家公司可能代表完全不同的壓力。好的 threshold 應該來自自己的 downside boundary，再配上 owner 與 response path。
英國 FRC Corporate Governance Code Guidance 是 UK listed-company context，不是所有企業都必須照做的法律規則。不過它對重大風險與議題的治理方式很清楚：需要有明確的 escalation procedures 與 agreed triggers。
也就是說，看到紅燈之後至少還要知道四件事：誰負責這個 signal、要升到哪一層、誰有權接受或降低 exposure，以及要在什麼時間內決定。風險變化很快時，等下一次月會通常沒有意義。
這個 response 不一定是「停止」。公司可能選擇 accept、mitigate、調整商業條件、限制例外，或提高監控頻率。Threshold 的用途，是把某個狀況預先轉成一個需要有人處理的 decision event。
KRI、KCI 與 Control 各自在看什麼
在日常風險報告裡，KRI、KCI 和 control 很容易被放在同一張表，久了就看起來像同一類東西。其實它們回答的是不同問題。
美國 OCC 的董事會資訊指南是在 banking context 使用這套 terminology，因此 KCI 並不是每個產業都必須採用的標準名稱。但它提供的分法很有用：KRI 觀察 risk 的變化，KCI 觀察與 internal-control effectiveness 有關的因素。
| 類型 | 管理者在問什麼？ | 信用集中度例子 |
|---|---|---|
| KRI | Exposure 正在往哪個方向走？ | 最大客戶占應收帳款比重、逾期 60 天以上應收款比例 |
| KCI | 控制機制目前還有沒有按設計運作？ | 高風險客戶 credit review 完成率、override 是否保留核准紀錄 |
| Control | 公司實際透過什麼機制介入？ | 簽約前 credit review、例外核准權限、逾期帳款 review workflow |
COSO Internal Control framework 把 internal control 定義為一個提供 reasonable assurance 的 process，用來支持 operations、reporting 與 compliance objectives。Control 的角色是介入與管理風險，不是單純把變化量測出來。
這個分法在判讀 dashboard 時很有用。KRI 變差，可能只是 business exposure 真的變高；control 本身不一定失效。反過來，KCI 開始惡化時，風險結果也可能暫時還很正常。兩種狀況後面要查的東西不同。
Control effectiveness 要留下可以回查的證據
「我們有這個 control」通常只能證明文件裡設計了一個機制。
FRC guidance 特別提醒，risk-management 與 internal-control framework 的存在本身不能證明 effectiveness。要判斷控制是否真的有效，還得看它有沒有運作、如何被監控與 review，以及發現缺陷後怎麼 remediation。COSO 使用的也是 reasonable assurance，而不是 absolute assurance；controls 能降低與管理風險，無法把不確定性清零。
拿「高風險客戶簽約前必須完成 credit review」來看，管理者至少需要回查幾件事。這個 control 什麼時候被觸發、誰負責、誰能核准例外？該執行時有沒有真的執行？review record、approval log 或 exception log 留在哪裡？如果出現 bypass 或延遲，誰負責修，修完後怎麼確認？
因此，去年測過一次、目前沒有損失、control matrix 裡有一列，都不足以單獨證明今天的 control effectiveness。流程、人員、exposure 與例外行為都可能已經改變。
重大 control issue 即使後來補救完成，也仍然可能需要讓治理層看到。FRC guidance 把 significant issues、remediation 與後續 review 放在同一個治理脈絡裡，原因很直接：董事會或管理層需要知道系統在哪裡曾經失效，以及修正後還剩下什麼風險。
同一個客戶集中度，可能出現兩種完全不同的問題
假設一家 B2B 公司依賴幾個大型企業客戶。公司接受一定程度的 customer concentration 來換取成長，但不希望單一客戶的應收帳款大到影響近期付款能力。
為了把機制講清楚，先設定兩個教學假設，不是市場 benchmark：最大客戶占總應收帳款 20% 時啟動 amber review，超過 25% 時進入 red escalation。KRI 另外追蹤逾期 60 天以上應收款；KCI 則看高風險客戶 credit review 是否按時完成，以及 overrides 是否有核准紀錄。Controls 包括簽約前 credit review、超額 credit limit 的例外核准、逾期帳款定期 review 與 documented override workflow。
第一種狀況，是 exposure 已經變差。
最大客戶占比從 18% 升到 22%，付款天數也拉長。KRI 進入 amber。不過 credit reviews 都按時完成，overrides 有紀錄，逾期帳款 review 也有執行，KCI 沒有顯示控制機制正在鬆掉。
這時管理者要處理的是 risk profile 的改變。公司可以重談付款條件、調整 credit limit、加強 collection、限制新的 exposure，或由有 decision right 的主管明確接受這段集中度。Control 有正常運作，並不會把已經升高的 customer concentration 消掉。
第二種狀況，是目前 exposure 看起來正常，但控制開始變弱。
假設最大客戶占比仍是 18%，逾期帳款也沒有異常。KRI 沒有亮燈。可是內部的 high-risk credit review 完成率下降，sales overrides 增加，而且部分 overrides 找不到核准紀錄。KCI 已經出現 deterioration。
這時先修的是 control operation，例如補回 review capacity、重新釐清 approval authority、限制 undocumented override，並確認例外是否已經變成常態。損失還沒發生，不能拿來證明 control system 很健康。
如果 KRI 與 KCI 同時惡化，情況會更嚴重：一邊是 exposure 往不利方向走，另一邊是原本用來管理它的機制也在失去穩定性。這類狀況自然需要更高的 escalation priority。
修完缺陷後，還要改變下一輪風險判斷
Near miss、反覆逾期的 review、沒有紀錄的 override，都不只是 compliance exception。它們也提供了一個訊息：先前對流程、風險或人員行為的假設可能不完整。
回到前面的例子。如果 sales overrides 長期沒有被正確記錄，補齊表單只是第一步。管理者還需要查原本的 KCI 是否反應太慢、approval authority 是否過度模糊，以及 overrides 的頻率是否已經高到代表 stated appetite 或 limits 跟真實商業行為脫節。Control 修好後，risk profile 也可能需要重新評估。
這也是 remediation 在治理裡真正有價值的地方。它會把 control deficiency 與 near miss 變成下一輪 risk assessment 的輸入，而不是在工單上打勾就結束。
實務上，可以拿任何一個 material exposure 做檢查：公司能不能從現在的 exposure，一路找到對應的 appetite 與 boundary、監控它的 KRI/KCI、觸發條件、負責人與 decision right，再找到實際 control、operation evidence，以及 control 出問題後留下的 remediation 紀錄？
哪一段找不到，哪一段就是治理還沒有接起來的地方。
參考資料
- COSO, Risk Appetite — Critical to Success (2020)
- COSO, Internal Control—Integrated Framework
- Financial Stability Board, Principles for an Effective Risk Appetite Framework (2013)
- OCC, Director’s Reference Guide to Board Reports and Information
- Financial Reporting Council, Corporate Governance Code Guidance