觀點投書：別讓AI風險成為管理盲區－企業如何運用CSA強化內部控制？

生成式AI快速進入企業營運，從資料處理、文件撰寫到客戶服務，應用範圍持續擴大。然而，企業導入AI時，是否確認相關管理目標？是否辨識可能妨礙目標達成的風險？既有控制措施是否有效？這些問題提醒企業，導入新科技不能只關注應用效益，也必須同步檢視內部控制。

依據金管會《公開發行公司建立內部控制制度處理準則》第21條及第22條，公開發行公司自行評估內部控制制度的範圍，應涵蓋各類內部控制制度的設計及執行，並依規定辦理自行評估及內部稽核覆核。實務上，企業可運用控制自我評估（Control Self-Assessment, CSA），由業務單位及相關人員參與評估，強化風險辨識與控制檢視。

CSA的核心，是從管理目標出發，辨識可能妨礙目標達成的風險，分析風險原因，設計相應控制點，再檢視控制措施是否適當、是否納入書面制度，以及是否有效執行。

CSA首先應確認管理目標，也就是企業希望達成的最終結果。管理目標是後續辨識風險及設計控制點的起點，不能將執行手段誤認為管理目標。在CSA評估中，管理目標通常以「確保」、「降低」等文字表達，代表企業希望達成的結果，並與較廣泛的整體管理目標、標的或使命相關。若無法判斷某項敘述是否為目標，可透過四個問題檢視：它是想要的最終結果嗎？它是什麼目標？它是一項結果嗎？為何想要那麼做？這些問題能協助自評人員從行動回溯其背後的管理目的。

相對地，達成目標的方法，也就是控制點，通常以「建立」、「覆核」或「設置」等文字表達。判斷時可詢問：「它是如何做（達成的方法）？」以及「它是一個手段嗎？」藉此區分企業想要達成的結果，以及為達成結果所採取的方法。

例如，「確保企業機密資訊在AI應用過程中獲得適當保護」是管理目標；「建立AI工具核准機制」及「設置敏感資料偵測機制」則是達成目標的方法。若追問為何要建立AI工具核准機制，便能進一步理解其目的在於避免員工使用未經核准的AI工具，降低機密資訊外洩風險。由此可見，目標是結果，控制點是方法，兩者應具有明確的目的與手段關係。

此外，企業不應只關注單一管理面向。例如，AI應用可能同時涉及部門AI策略目標、AI KPI績效目標、AI預算管理目標及資訊安全管理目標，包括提升部門營運效能、改善作業效率、確保AI支出符合預算，以及保護機密資訊。企業也應檢視不同目標間的關聯與可能衝突，例如為達成AI KPI而加速導入，可能壓縮資訊安全審查時間；為控制預算而減少技術監控資源，也可能影響機密資訊保護。完整辨識目標，才能避免評估範圍偏離實際營運需求。

確認管理目標後，應進一步分析可能妨礙目標達成的因素。風險原因是促使風險事件發生的因素；風險事件是可能發生的具體情況；風險影響則是事件發生後對企業造成的後果，三者不能混為一談。 （相關報導： 聯發科迎AI成長新階段！蔡力行談攜手輝達布局資料中心，今年營收拚逾210億美元新高 ｜ 更多文章 ）

以機密資訊保護為例，員工不清楚資料分類及使用限制、企業未明確規範可使用的AI工具及資料輸入原則，以及缺乏技術限制與監控機制，都可能成為風險原因，促使員工將未經授權的機密資料輸入外部AI服務，形成資訊揭露事件，進而造成法令遵循、契約及商譽損害。

CSA風險分析常見三種錯誤。

將管理目標反向描述為風險，例如將「確保機密資訊獲得適當保護」反向寫成「機密資訊未獲適當保護」，卻未進一步辨識造成保護不足的具體因素。

辨識風險影響而非原因，例如只列出資訊揭露可能造成法令、契約及商譽損害，卻未追查員工認知不足、管理規範不明確或技術監控不足等原因。

將無效果的控制措施當成新的風險，例如只指出AI教育訓練無效或技術監控資源不足，卻未進一步分析訓練內容是否完整、對象是否涵蓋，或資源配置及權責分工是否適當。

因此，風險分析不能只停留在問題描述、損害結果或控制缺失的列舉，而應追查促成風險事件的原因，建立合理的因果關係。

完成風險原因分析後，企業應針對原因設計相應控制點，降低風險事件發生的可能性，並視需要減輕事件造成的影響。控制點必須與風險原因具有明確關聯，不能只追求控制措施的數量。例如，若原因是員工不清楚機密資料的分類及使用限制，可透過資料分類規範及AI使用教育訓練改善；若原因是缺乏AI工具及資料輸入規範，則應建立核准工具清單及資料輸入原則；若原因是缺乏技術限制與監控機制，則可設置敏感資料偵測、阻擋或異常通報機制。

企業不能只確認控制措施是否存在，還應檢視其是否真正對應風險原因。例如，雖然已辦理AI教育訓練，但內容未涵蓋機密資料使用限制，仍無法有效處理員工認知不足的問題。

控制點設計完成後，還應檢視是否納入書面制度，以及實際執行是否有效。首先，應確認相關控制要求是否納入管理辦法或作業程序，並明確規範權責分工、作業流程及執行要求，例如AI工具核准程序、機密資料輸入限制及異常處理方式。

其次，應確認相關人員是否依規定執行、紀錄是否完整，以及發現異常時是否及時處理。例如，企業是否確實執行AI工具核准、資料輸入限制及異常通報，並保留執行與處理紀錄。必須注意，書面制度已存在控制措施，還要檢查是否已有效執行，並且有執行紀錄，更重要的是定期評估控制措施確實發揮效果，這些均須納入檢視。

CSA年度自行評估作業的實施精神，應融入日常管理。企業可透過PDCA循環，持續檢視管理目標、風險及控制措施：規劃階段確認目標並辨識風險原因；執行階段依風險原因設計控制點並納入制度；查核階段檢視控制設計、制度化及執行情形；改善階段則針對缺失分析原因，訂定改善措施並追蹤完成情形。更新注意，因應企業內外部環境變化，運用CSA不定期動態調整與優化管理機制。

生成式AI持續改變企業營運模式，企業面臨的挑戰不只是如何導入新科技，更是如何確保AI應用在可控的環境下創造價值。透過CSA，企業從管理目標出發，辨識風險原因、設計對應控制點，並檢視制度化及執行有效性，才能及早發現控制缺口，避免AI風險成為管理盲區。 （相關報導： 聯發科迎AI成長新階段！蔡力行談攜手輝達布局資料中心，今年營收拚逾210億美元新高 ｜ 更多文章 ）

＊作者為國立中正大學企業管理學系博士研究生​