第一章 總則 一、行政院為推動所屬各部、會、行、處、局、署、院（以下簡稱各部會）將風險管理及危機處理融入日常作業與決策運作，以降低災害之可能及後果，達成施政目標、提升機關績效，特訂定本基準。 二、本基準係原則性之作業規範，作為協助各部會推動整合性風險管理及危機處理之參考依循，並藉由風險管理及危機處理作業手冊，引導各部會建立標準作業程序並進行實務性操作。 三、各部會得依相關法令及業務特殊需求管理其風險或危機。 四、本基準用詞，定義如下： （一）風險(Risk)：潛在影響組織目標之事件，及其發生之可能性與嚴重程度。 （二）危機（Crisis）：發生威脅到組織重大價值之事件，在處理時具有時間壓力，迫使決策者必須做出決策，該決策並可能有重大影響。 （三）風險管理(Risk Management)：為有效管理可能發生事件並降低其不利影響，所執行之步驟與過程。 （四）危機處理(Crisis Management)：為避免或降低危機對組織之傷害，對危機情境維持一種持續性、動態性之監控及管理過程。 （五）整合性風險管理(Integrated Risk Management)：以組織整體觀點，系統性持續進行風險評估、風險處理、風險監控及風險溝通之過程。 （六）利害關係人(Stakeholders)：對於決策或活動，具有影響力、可能受其影響或自認可能被影響之個人或組織。 （七）風險評估(Risk Assessment)：包括風險辨識、風險分析及風險評量之過程。 （八）風險辨識(確認)(Risk Identification)：發掘可能發生風險之事件及其發生之原因和方式。 （九）風險分析(Risk Analysis)：系統性運用有效資訊，以判斷特定事件發生之可能性及其影響之嚴重程度。 （十）風險評量(Risk Evaluation)：用以決定風險管理先後順序之步驟，將風險與事先制定之標準比較，以決定該風險之等級。 （十一）風險處理(Risk Disposal)：對於風險評量後不可容忍之風險，列出可將風險降低至可容忍程度之對策，進而執行相關對策，以降低事件發生之可能性或其影響之嚴重程度。 （十二）風險規避(Risk Avoidance)：決定不涉入或退出風險處境。 （十三）風險降低(Risk reduction)：選擇使用適當技巧及管理原則，以減低風險或其發生機率。 （十四）風險保有(Risk retention)：特意或非特意承擔風險所造成之損失，或為組織之財物損失負責。 （十五）風險轉移 (Risk transfer)：透過立法、合約、保險或其他方式將損失之責任及其成本轉移至其他團體。 （十六）組織風險圖像(Organization’s Risk Profile)：指組織主要風險項目及優先順序，以及個別風險項目分析資料；包括風險事件及其影響、緩和風險策略與目標等整體呈現。 （十七）監控(Monitor)：定期及不定期檢查、諮商、觀察及記錄活動、動作或措施之過程。 （十八）風險溝通(Risk Communication)：與利害關係人進行風險意識之傳播與交流，包括傳達內容、溝通方式及溝通管道。
第二章 風險管理政策與架構 五、各部會應以其施政願景與計畫為基礎，建立內部單位及所屬機關(構)一致性之治理目標，並展現機關風險管理績效。 六、各部會應依據機關職掌訂定風險管理政策，陳述機關整體之風險管理目標、宣示預防潛在風險執行方法及對風險管理持續改善之承諾。 各部會應將風險管理政策轉達同仁周知，使其認知相關責任，並與其利害關係人進行風險溝通。 七、各部會應建置風險管理架構，此架構須考量機關內外部環境，並包括規劃、執行、監督及改善等流程。
第三章 風險管理規劃 八、各部會應明定各級人員之風險管理職責，並提供資源、訓練與必要措施，以落實機關之風險管理。各部會應透過教育訓練及組織學習，建立風險管理專業技術，提升風險管理能力。 九、各部會首長負風險管理績效之責任。首長應指派專責單位或人員負責機關各運作階層與範圍之風險管理相關事項。 十、各部會風險管理專責單位或人員應具明確之權責，並定期向首長陳報機關風險管理之執行情形及績效。 十一、各部會規劃整合性風險管理時，應依業務特殊需求明定合適之風險管理方法及工具，並得訂定風險管理年度計畫，提供執行所需資源，且適時修正。 十二、各部會應將其風險事件、可能後果及處理風險之方法，適度對內外部利害關係人溝通，並透過資源分享，營造支持性之工作環境，以形塑風險管理文化。 十三、各部會應依業務特性、風險類別及管理經驗等差異，設計並推動整合性風險管理，長期持續運作，以落實風險管理工作。
第四章 風險管理執行 十四、各部會評估風險時，應先瞭解其施政目標，並考慮法令、內外部環境、技術及財務等事項。 十五、各部會應透過風險辨識、風險分析及風險評量之過程，綜合評估風險。各部會應設計方法以辨識風險，訂定風險發生可能性及其影響之嚴重程度之評量指標以分析風險，依風險容忍度訂定風險標準與等級以評量風險，並持續執行風險評估及檢視組織風險圖像之變化。 十六、各部會應對所辨識出之風險予以處理，並防範處理過程中可能引起其他風險。風險處理對策包括風險規避、風險降低、風險保有及風險轉移，對策亦需考量成本效益、政策可行性及處理之優先順序。 十七、風險管理之規劃與執行，其相關程序及處理措施等均應作成紀錄。
第五章 風險管理監督 十八、各部會應明定風險管理監督之程序、範圍及監督者之權責。 十九、各部會應建立機制適時監督風險管理規劃與執行之績效，監督結果應加以記錄，並適度與利害關係人進行風險溝通，以確保其持續適用與有效運作。
第六章 風險管理改善 二十、各部會應藉由使用風險管理政策、風險管理目標、相關稽核與監控、矯正與預防措施及管理階層審查，以持續改善風險管理之績效。 二十一、各部會應對監督結果所發現之異常事項提出矯正或預防等改善措施，並應確認該等措施之有效性。 二十二、各部會應依據風險管理監督結果與內外部環境，持續改善與溝通整合性風險管理之相關措施。
第七章 危機處理 二十三、各部會危機處理應與風險管理架構相互結合，對於經過風險處理後仍高於可容忍程度之風險，應預先規劃危機之預防、應變、復原等各階段因應措施。 二十四、各部會應依據危機之類別，訂定危機緊急應變計畫。 前項危機緊急應變計畫，應包括危機應變小組、應變策略、公關溝通、善後處理等標準作業程序，並應力求機動與彈性，以適應特殊緊急事故，並透過測試與演練，驗證計畫之有效性。 二十五、各部會除強化危機處理整體概念外，應著重協調機制、危機溝通及相關案例之探討，平時建立部會內外部即時通報窗口及機制，善用各種溝通工具，交換最新資訊，掌握最新狀況。 二十六、各部會應適時啟動危機應變小組，針對危機儘速釐清可能涉及之層面，必要時應迅速陳報上級機關建立跨機關之危機應變小組，並依計畫緊急動員、傳訊連絡、籌謀對策、有效統合相關計畫與內外部資源，善用政府與民間資源，以爭取在第一時間解決。 二十七、各部會於危機處理完竣後，應依經驗及事實，作成知識物件案例，俾供學習及檢討改進。對處理危機結果發現異常事項，應提出矯正或預防改善措施，並確認該等措施之有效性及回饋風險管理機制持續監控。 |