企业风险管理

风险评鉴流程

1目标设定与策略规划

于设定各项年度目标与策略规划时，应检视其是否能支持企业愿景与使命，并通过信息搜集、研析评估等方式规划策略。

2风险/机会辨识

依据公司策略目标及风险管理政策与程序，各营运单位就其业务职掌及永续相关议题进行全面性风险与机会辨识，业务职掌包括策略、营运、财务、法遵等相关领域；永续议题含气候变化、能源使用、生物多样性、人权、供应链管理及信息安全等。

3风险/机会分析

已辨识出的风险与机会事件，将依其性质及特征进行分析，并综合考量既有管控措施、过往经验、同业案例及其对财务表现及现金流量的潜在影响等，再由风险评估人员依分析量测标准评估其发生机率与影响程度。

4风险/机会评量

根据分析结果排序，以决定须优先处理的风险/机会事件，并规划与执行应对方案。

5风险/机会因应策略

对须回应的风险与机会事件，将依据企业策略、利害关系人观点、风险胃纳及资源与成本效益等因素来择定回应方式，并明确订定具体措施、责任单位、资源与时程等，确保相关人员理解与落实，且持续监控执行情况。

6风险/机会监督及审查

经评估列为重点处理的重大风险与机会，由权责部门设置适当监督机制。
风险治理小组定期追踪应对措施与风险趋势，确保行动按计划推进，并留存记录，经风险治理小组召集人审查后作为后续管理依据。

风险管理三道防线

第一道防线

对应单位：各营运单位、专责小组
权责划分：
1. 辨识、评估所属单位风险与机会，必要时启动危机管理机制。
2. 定期向风险治理小组提报风险与机会管理信息。
3. 确保风险与机会管理与控制程序有效执行，并符合公司政策。

第二道防線

对应单位：风险治理小组
权责划分：
1. 制定并更新风险管理政策与标准，明确界定风险与机会来源与容忍度。
2. 监督风险管理执行，促进部门协调，并每年提报董事会。
3. 提供风险管理专业训练，强化内控与信息安全。

第三道防线

对应单位：稽核中心
权责划分：
1. 依董事会核定的政策与程序，提供独立稽核与监督。
2. 就董事会核定的年度稽核计划，执行与提出独立且客观的确认与建议。
3. 定期向董事会报告。

2025年风险评估结果

依据风险管理流程，针对营运、策略、财务、法规遵循及环境能源等面向辨识重大风险及机会，辨识过程中，依风险分析流程估计风险值，与各风险项目的风险胃纳进行比对，并进行回应。

已识别出超出风险胃纳的项目为营运面之「持续营运风险」、「信息安全及隐私权保护风险」，应对策略与优化行动将持续落实。公司亦定期针对财务面的汇率风险及利率风险进行敏感度分析，并对信息安全风险进行压力测试。

重大风险项目	风险叙述	因应策略
持续营运风险	若面临电力或网络供应不足，可能影响生产与营运连续性。	制定紧急应变程序，并定期进行演练，确保在突发事件时能迅速恢复营运。建立主管机关及合作伙伴联系信息，确保必要时能取得即时支援。
	若资安防护漏洞或员工意识不足，可能导致系统中断与营运受阻。	建立持续营运委员会，制定管理手册与程序文件，并定期检视风险、更新应变计划及举办演练。依循 ISO 27001 框架，运行信息安全管理系统，并设置专责委员会，确保系统安全与营运稳定。
	新型传染病可能影响人员出勤与供应链稳定，进而冲击营运。	制定传染病防护指引，包含通报程序、分散办公计划、防护物资管理及环境卫生维护。
隐私权保护与信息安全风险	全球营运与数字化普及，若信息安全控管不足，可能导致系统遭受攻击或营运中断。	依循ISO 27001与内控，定期内外部稽核，确保各厂区遵循规范。机房设门禁管制、环境侦测、可用性监控，降低电力、空调、火灾等风险。建立HA高可用性架构，并定期演练与备份，确保快速还原。
	资安意识不足或人为疏失，可能造成机密资料外泄与重要信息遗失。	制定设备入网规范与资安基准，更改默认密码、安装防毒与防护软件，定期更新Patch修正系统或提升功能。建立弱点管理程序，定期检测设备并立即修补漏洞。封锁USB存取，禁止自行安装软件，邮件与网络均需验证过滤。制定高强度密码政策，规范长度、复杂度、更新频率与锁定时间。系统登录资料存取严格权限控管，VPN与外部邮件必须双因子验证。机敏资料加密保护，需连接公司金钥主机才能读取，降低外泄风险。
	隐私权保护与信息安全治理影响企业信誉、合规性及营运稳定性。	员工签署NDA与行为准则，明确规范责任与禁止事项。推动资安实体与线上教育训练，并持续公告与宣传。定期社交工程演练、钓鱼邮件测试，未通过者须再训练考核。

2025年机会鉴别结果

风险管理不局限于控制负面影响，同时期望将风险的不确定性转化为对企业的实质价值。英业达在年度风险/机会管理过程中，筛选出「工业4.0与智能制造」及「人工智能与运算效能提升」为核心发展机会。

机会项目	机会描述	预期对公司影响	资金配置项目
工业4.0与智能制造	通过优化智能设备、数据平台与预测系统，达成实时监控和灵活生产，提高生产效率。	短期：成本增加中期：改善能源效率与碳排放管理长期：创造差异化能力与新商机	自动化设备与系统平台运行与维护费用研发支出、人员培训与培养费用、灯塔工厂等认证费用
人工智能与运算效能	提升人工智能技术与运算效能，尤其是在处理大量数据和复杂任务时，应用于市场分析、运营效率提升及成本降低，进一步开拓新的商业模式。	短期：费用增加、改善能源效率与碳排放管理中期：维系客户关系或开发新客户长期：开创新运营模式	高算力平台与节能机房云端数据优化与机器学习模型开发费用研发项目费用、人员培训与培养费用

新兴风险治理

新兴风险项目的产出是参考外部环境分析信息，深入了解业界与标杆企业普遍关注的议题，并广泛收集风险权责主管与人员的建议，最后筛选出与英业达高度相关的新兴风险项目，确认并汇总为2025年度新兴风险事件。

新兴风险事件	风险叙述	对策/管理措施
技术、资源与供应链武器化	地缘政治与区域冲突导致关键技术（如半导体）、关键资源（如天然气、稀土）及供应链等成为国家政策下的战略武器，提高经营复杂度，进而冲击运营成本，并可能造成供应链中断。	全球多元化布局，降低对单一国家的依赖。强化供应链韧性，建立多元供应商与备料策略。建构动态监控与预警机制，并启动应变计划。掌握可持续发展趋势并调整可持续发展策略，同时与供应链伙伴共同达成目标。
AI应用偏差	由于数据或设计上的偏差，导致AI应用可能造成负面影响，包括AI误差导致歧视或偏见、决策错误，以及决策错误引发连锁效应，导致公司运营中断、违反法规或遭恶意利用。	强化数据治理与质量管控，确保训练数据完整且无偏差。导入AI治理框架，确保公平性、透明度与可解释性。确保隐私与信息安全防护，采用加密技术并遵循国际法规。建立责任与审核机制，定期检测偏差并更新模型。
人工智能及量子科技发展对网络安全的影响	人工智能可能被黑客利用并进行自动化攻击，或通过深度伪造技术制造虚假信息，提高社会工程攻击的成功率。量子计算具备强大的计算能力，未来可能破解现有加密算法，导致传统信息安全防护失效。随着新兴科技快速发展，网络攻击将更加复杂且难以防御，公司面临更高的信息安全威胁，需要提前部署新型信息安全策略。	学习后量子加密相关知识，盘点量子科技发展可能对企业造成的威胁。建立人工智能信息安全防护机制，强化安全检测与异常侦测。推动员工信息安全教育与演练，建立跨部门应急计划。遵循国际信息安全标准及框架，并确保管理制度与防护技术及时更新。