個別設施面臨第一線的風險，風險管理的機制必須立即有效，因而風險評估以呈現事故潛在發生機率為原則，安全防護量化績效則是除了風險處置能降低事故機率之外，更包含不安全狀態的有效預防和排除。
風險管理的成效是大部份企業或機關單位在企業年報與安全防護計畫中難以指標量化的部份，績效卻又是必須能詳加驗證以利企業或機關單位(包含機關之上級單位)決策群在將資金與資源投入營運工作時很重要的指標，只要說不清績效，風險管理就無法落實，安全與否就變得隱晦難明，任何投資都會變成沈沒成本。
回到主題，在討論如何量化風險管理的績效指標前，讀者需要先閱讀筆者之前的幾篇文章以利聚焦。
首先，本文討論的是設施(系統會以另一篇文章說明)，因此討論範疇的適用性偏向於個別設施的管理單位，或是營運僅依賴單一設施的中小型企業，因此在衝擊與機率二者之間以機率的評估為首要，因為單一設施面對風險或災害幾乎沒有轉圜空間，一旦設施中斷營運，對中小型企業也已經是全面性的衝擊。
其次，個別設施的機率評估與安全防護績效是一個持續追蹤與精進的過程，尤其是考量氣候變遷的TCFD實體風險的前提下，因為設施內部營運機制與外部的氣候因素不盡一致，設施與設施之間很少有可以橫向比較與參考的機會。
為此，盡可能最大化可以用於客觀評估機率的數據是最重要的，其中，TCFD實體風險可以利用我國當前的環境大數據平台：TCCIP與民生公共物聯網進行機率的評估，也需要進一步釐清設施的內部風險結構、元件(核心功能業務、必要資產、關鍵資源)和它們的風險門檻，從而客觀地評估風險發生機率值或值域區間，掌握真實風險的大致狀況。
基於風險評估與辨識成果，可以有根據地處置風險或檢討既有的風險處置成果，風險處置涉及調整內部風險結構、元件(核心功能業務、必要資產、關鍵資源)和它們的風險門檻等細節，必須要針對它們的性質而定，無法一概而論。但是可以分享一些關鍵基礎設施安全防護的觀念與原則：
- 備援是重要元件(核心功能業務、必要資產、關鍵資源)最常見的風險處置手段
- 必要資產備援的例子包含備用的生產設備、雲端服務的雙伺服器與資料備份等。
- 關鍵資源備援的例子包含電力中斷的UPS、水中斷的備用水、原物料庫存儲備等。
- 核心功能業務須視性質決定如何確保功能持續與移交，例如實體產品涉及保存與送達、能源與資訊的多管道送達等。
- 保安系統與預防性應變則是在不安全狀態發生且在設施營運中斷之前的管理手段
- 已經無法阻止營運中斷後的風險處置手段以恢復營運為先
- 若是小型失控的風險造成營運中斷，一般以搶修必要資產或儘速取得關鍵資源為主。
- 若是具有替代性的設施，可以考慮利用保險機制轉嫁風險。
- 若是巨災造成營運中斷，若設施具備關鍵基礎設施(無論是對企業或國家)的性質，則強烈建議重新對設施所處的風險進行評估，以更穩健的方式重建設施。
1及2項的風險處置手段尤其適用在營運中設施的BCP或BCM，應該一併納入考慮。
安全防護必須額外提及的一個前提是極致，無論是國家或企業對於風險管理的預算或投資一定有其上限，因此單一設施在風險處置的執行面不可能無限上綱，想像設施絕對安全本就是不切實際的，但是必須在有限資源的條件下將每一個風險處置的效益發揮至最大，舉例如預防入侵的保安系統，在進入設施的第一時間就應該要確實完成登記並檢查進入者是否攜帶危害物，百分之百杜絕可疑人與物；當有入侵事件時保全人員必須在最短的時間內有效阻止或消弭入侵，將戰術效益透過反覆演練放至最大，才能有效抑制風險的發生，這些都將是單一設施管理階層必須適度掌握並確保的必要作為。
綜上所述，投資在單一設施的風險管理績效必然與機率息息相關，在每一次Plan-Do-Check-Action的循環中(企業可能是年報；國家關鍵基礎設施可能是主管機關的驗收或演習週期)，以前一週期為基礎檢討資金投入額與風險發生機率的降低是否符合投資報酬率為主，雖然也可能反應在其他層面，例如風險發生情境的風險門檻提高，經過結構強化的投資讓設施本來只能抵禦5級地震而提高至6級甚至7級；例如安全防護的落實，提高入侵檢出率、應變效率或可以抵禦的外部入侵能量。此一類型則須在情境條件加以說明，藉以呈現潛在的績效。據此，情境與機率並陳自然是非常重要的。
若有疑問或需求可洽詢CIPService@nbhic.com。
文章內容歡迎轉載，請註明出處及作者，謝謝！！
