二手徵求有驚喜
新版序
請容我向「哆啦A夢」借任意門，時光倒回2018年本書首版的出版幕後花絮。
當時我趁著轉換工作的空檔，將災害管理前中後階段實務經驗化為文字，並嘗試跟合作過的出版社聯繫出版可能，大多數的回應是風險管理與韌性（Resilience）管理議題太專太新太冷門，所以「謝謝再聯絡」。由於我也曾擔任過行銷企劃工作，可以理解出版業績的壓力。
吃了多次閉門羹後，鄭俊平先生敞開大門，接受我的提案。在出版會議後，鄭總編還送我數本出版社的書籍。他示意我可以參考這些書籍介紹性文章，將生硬的內容寫些通俗性的文章。儘管內心本已經處於交稿的狀態，但後續又補充了約萬字文稿，以生活故事闡述風險背後的邏輯後付梓出版。
這五年來，我因為這本書也經歷了未曾有過的經驗。如：國家文官學院（2020）、全國科學技術會議（2020）等場合的發表。這五年地球村中的我們也共同歷經了全球Covid（新冠）疫情前後的社會劇變，「韌性」因此躍升為國際產、官、學、研的顯學。當鄭總編2023年底邀我為本書新版增益內容時，我沒有多加考慮就答應了。
以下讓我說說過去這五年各種國際事件、在地行動於本書主題裡的「微縮影」吧。
全球鉅變、在地觀點：「超乎常理的變動」成為疫後新常態
從本書付梓至今，詭譎多變的國際社會局勢與氣候異常遠遠超過一般人的想像。中美貿易戰（2018至今）、巴黎聖母院大火（2019）、新冠疫情（2020~2023）、全球供應鏈中斷（2020~2022）、美國「零元購」（zero-dollar shopping，2020╱2021~）、疫後罷工（2022╱2023）、俄烏戰爭（2022~）、台海軍演（2022─）、歐洲乾旱（2022╱2023）、美國野火（2022╱2023）、中國東北洪災（2023）、夏威夷火災（2023）、以巴戰爭（2023─），台灣0403地震（2024），以及數不清氣候異常與重大資安事件，使得「韌性」成為疫後社會與商業鉅變後的生存焦點。
在疫情期間，全球供應鏈中斷與在地人力短缺造成各國通膨的壓力。根據中華經濟研究院引述標普全球（S&P Global）資料，2022年全球通貨膨脹率7.60%，開發中國家處於約兩倍的高檔，為14.94%。而標普全球在2024年1月發布的預測，去年（2023）全球通貨膨脹率約5.60%，今年（2024）預測為4.60%。
即便是疫後兩年，今年（2004）各國經濟展望仍是起伏多變。中華經濟研究院分析全球需求仍處於低迷，美國、中國、日本、歐元區預估2024年經濟成長趨於保守，較去年度減緩。拜供應鍊重組之賜，東南亞地區的外資持續升溫，則可望帶動部分地區（如台灣與南韓）的經濟成長。
三個韌性閱讀的心得
在「韌性」一詞尚未普及，本書首版有幸獲選為2020年國家文官學院7月選書，我也榮幸擔任本書前版閱讀心得的評審，展開全國公務機關與公營事業眼中的韌性之旅……
欣喜的是，這些心得投稿者還具備多樣化的實務背景，他們將其穿插在文章前言（如遊樂區資訊系統）、自身業務經驗（如醫院、勞動檢查、校園輔導等）、演練情境（如醫院、文化單位重大車禍），以及案例（如韌性台灣政策）。
投稿者們各自發展了自己的韌性創見，他們的個人論述與實務的驗證也是我學習到的心得。我曾就這次經驗發表在《工商時報》，在此摘取三大重點，作為補充本書新版強調風險偏見、溝通與實務對話的重要性：
1）「比喻」為風險溝通之媒介
在風險溝通上，這種媒介通常被忽略、實為非常重要的角色。除引用黑天鵝、灰犀牛等社會大眾熟知的比喻，投稿者以個人巧思「設計」出了不同的比喻（如：風起電影、扁鵲故事、韌性像肌肉等），這皆有助於與利害關係人溝通風險的特性。
即使找不到恰當的比喻，投稿者也運用另一種媒介探討為何政府需要韌性管理。有人提到，被動式與穩健的組織為政府在面對風險管理的盲點。這類的形容詞也有助於我們理解投稿者所處場域的限制。
2）「弦外之音」為創見之基礎
讀懂本書初版的「弦外之音」並非易事，往往也是投稿者發展個人創見的第一步。除了深刻的體悟，還要有細膩的觀察，以破除社會一些「想當然爾」的原有觀念。
有些投稿者會這樣闡述書中欲表達的弦外之音，例如：
對於一般人來說，危機一詞「太過沉重且正式」。如今，新的思維「韌性管理」採行了前瞻性思考，為一門綜合專門領域知識。在這個多面向的實務取向，強調時間動態、資源組態與人員心態之管理學專論。尤其是涉及管理的部分，韌性是當責也是承擔。及至應變人員專業能力的養成，如訓練或演練，就非常重要。透過平日的演練，「直視惡魔的眼睛」。不管準備多繁複，也不能輕易被捨棄。因為錯誤總會發生，災變發生後最重要的課題為「減損」。針對政府單位忽略風險移轉與減損加強準備，培養領導者與團隊韌性能力，以避免陷入自身舊框架的限制。
很多投稿者融會貫通本書的主要觀念後，點出了政府機關的文化思維，據此提出改善建議之道。我身為作者，頗有「跨域遇知音」的心領神會。
3）實務為論述的驗證之地
這些弦外之音或許點出投稿者反芻了國內現象後產生的結論，但就像某投稿者提出「以失敗為師」的主張，但這需要更多故事、實務與案例來支持投稿者提出的創見。
韌性其實也是是跨域的實務積累。從實務案例中發展新的理論框架，為韌性管理提供洞見與視野。缺乏實務案例，論述就像是真空狀態下生物，成為無生命的化石標本。即便是考古學家，也會仔細整理化石周遭的生物與土地肌理，呈現當時生活生存的多重樣貌。
另外，許多投稿文章混淆了「韌性」與「永續」（ESG）兩個觀念。儘管韌性起源自於生態學，但韌性是從風險管理學、組織管理學發展出實務性的應用。2020年，美國《彭博商業周刊》（Bloomberg Businessweek）專文探討過在疫情之下，「風險管理專業經理人」已成為美國熱門行業。除了風險管理的趨吉避凶，存活後的重生新生便是韌性管理面臨的生存議題。
若我們回到企業經營的「底線」（Bottomline）思維：如果企業都沒有明天，哪來的餘裕推動永續？從風險管理的角度，組織韌性才正是企業永續之本。
四年前，我有幸參與2020全國科學技術會議，當時政府各部會主題都已圍繞在韌性。
從該次會議議題文稿中可見，韌性已成為跨部會的策略主軸之一。在科研與前瞻的議題，發展強化科技風險評估策略；在經濟與創新的議題，發展以智慧應用提升韌性、接軌國際完善資安體系及提高能源整合電網韌性；在安心社會與智慧生活議題，強調打造堅韌安全之智慧國家、完善調適精進災害預警、環境智慧打造韌性城市，以及整備網絡奠基智慧生活。
根據上述跨部會策略，我在會議中建議將「韌性教育」納入國家人才培育策略。目前韌性教育並非學校教育的主流，很難為學生培養因應未來多變環境的領導者。而過去在殺價競爭的壓力之下，台灣企業不斷地壓低風險管理的費用與支出。除非在客戶合約的要求之下，風險管理成為OEM代工模式下的「奢侈品」，更不用提韌性。
不論是聯合國經濟合作發展組織（OECD因）應韌性社會來臨、或許多國際領導者對於韌性教育的承諾，還是世界經濟論壇「HR 4.0」議題，這些都彰顯國際韌性教育的重要性。因應未來國內科研、政策與產業所需，國內韌性教育也將有助於培養專業人才之國際競爭力。
新版對「資安敏捷」更新
由於這幾年歷經了疫情管制的歷史，我結合國際時事、韌性管理觀念與時俱進的發展，陸續發表了中英日30餘篇文章。除整合過去的新作品、並為本書重寫新的內容，尤其主要更新了韌性與資安議題的論述。
資安議題發展一日千里，故成為本書再版更新的重點。本書新版已移除舊版附錄的「中小企業版數位韌性規劃」，它無法因應當今複雜的資安議題。本版更新簡介美國「國家標準技術研究所」（NIST）「網路安全管理架構」產業標準（CSF），也適用於中小企業規模。再者，延伸第一版「預防無效論」（前譯為「預防無用論」）的背景、因應與後續發展；也增加國際資安標準簡介內容，以及勒索軟體、老舊系統與密碼管理等頭痛議題，以及面臨供應鍊與跨部門議題的挑戰。
尤其，本書特別關心「資安」與「工安」的跨域風險管理交流。舉例來說，國際資安工控標準ISA╱IEC 62443 也增加安全（Safety）維度。本書初版前言引述Gartner（2015）建議實體安全（或工安）納入2020資安情境，五年後Gartner（2020）CEO指出，調查發現2024年之前的資安風險多會出現「個人可擔責」（Personally Liable）這類問題。最後，非資安、風險管理背景的上市櫃董監事與專業經理人也是本次新版特別關注的讀者，我也增加了管理角度出發的資安議題、背景性觀念。
筆者有幸於2023年取得國際敏捷證照（SCRUM Master），本書新版還增加了敏捷議題，希望解決層級組織因應複雜多變VUCA環境的挑戰，並開啟敏捷與資安、工安領域應用的對話。
展望：韌性為組織自救力
曾在一場桃園縣政府專書導讀會中，我一開始詢問聽眾：韌性管理和政府有關嗎？當災害來臨，政府開設地方各級災害應變中心，這個「救人」機制已相當成熟完備；反之，從緊急應變、災後復原到營運持續管理，韌性管理更強調政府「自救」的能力。過去我們即從紐約消防局於「911事件」案例中省思，自救才能救人。
韌性管理發展為風險管理進化版，培養新常態下組織與個人競爭力。面對多重複雜環境的挑戰，組織或個人難以用日常的經驗法則，因應多重風險帶來的生存威脅與損失。「三隻小豬」寓言故事啟發我們對於韌性的重要性。如果沒有豬小弟的備案，就可能喪失最後的生存機會。韌性不再只是被動的規避風險、也不是可有可無的組織餘裕（Slack），已成為VUCA（易變性、不確定性、複雜性、模糊性）日常必備的營運資源。
我想就這五年經驗與觀察，以新版的面貌與國內專家社群交流。然而，在字句推敲之間，我難免也心裡滴沽：自己的創見會不會哪天被新興的AI工具所取代？所幸，活生生的經驗並非現階段生成式AI所能完全取代，兼具實務與邏輯的洞見（Insight）亦是如此。
從過去十年的工作經驗來看，從風險管理到韌性管理的旅程不會是單行道，可能是迂迴的九彎十八拐。我很珍惜身為作者的這份機會，可以跟跨業異業專家先進交流，並期待未來交換人生體悟的韌性風景。
／寫於2024甲辰青龍年．小年夜
前言
「韌性」是一門顯學
你是否因處理突發狀況而整夜待命？是否擔心無法處理危機而徹夜難眠？是否擔心團隊能力不足，延宕處理公司的危機？儘管「趨吉避凶」是我們的本能，然而我們並未真正認識危險。一旦大難臨頭，一般人的通病是走捷徑。閃躲它非但無法解決真正的問題，有可能造成更棘手的處境。這是否和我們的工作經驗與學習歷程有關？
展閱當代管理之父彼得．杜拉克先生六十年演說集，不禁回想近二十年個人學習與職場生涯。在累積一定的績效與歷練，經理人得以步步高升。進階者從MBA 師生同儕學習，在職涯轉折點充電後再出發。
從國內外個案的分析，太多主管因處理災害危機不當而黯然下台，甚少因處理有功而被拔擢。
為何這門攸關公司生死存亡、主管升遷的管理課程，鮮少出現在主管養成教育？
原因很簡單，危機消息止於自家大門之內。在家醜不得外揚的情況之下，企業講師不教；在我國近六十年MBA 教育的發展中，這類型的風險課程並非商學院的主流，學校也不教。
由於災後復原為移動中的目標，階段性目標隨時空環境而調整。在有限的資訊與資源之下，主管很難在第一時間做出決定，連帶會影響第一線部屬的士氣與進度。由於缺乏災害處理的實務經驗，臨危受命的應變小組僅能從排山倒海的問題中被動因應。每個臨危受命處理災害的主管，就好像在高空上走鋼索戰戰兢兢。
新管理思維
近年來，台灣一再發生「短延時強降雨」，也開始面對「限電」或「缺電」的可能性。Gartner（2014）強調，資安已經進入「預防無用論」時代。災害衝擊遠大於你的預期，「防範未然」不再是唯一事前準備的處方。
然而，沒有經歷過災害，很難體會災害管理這堂課。以美國911事件為例，恐怖攻擊造成紐約雙子星大樓應聲倒塌。瞞天蓋地的金屬塵爆席捲商業大樓數以萬計的電腦。大樓停電造成資訊與聯絡中斷，上千台受污染的電腦必須徒手背出災區迅速復原。這段時間，所有的業務一片混亂、完全停擺。在大型災害的案例中，災害的類型不會是單一的，伴隨而來的是複合型的影響。
那該如何以新思維分配風險管理的資源？
在規劃風險管理資源時，我們習慣將「雞蛋放在同一個籃子」。在技術思維之下，「規避」（Avoid）為常見的風險策略，就像是硬體採購。但，主事者往往忽略「減損」（Mitigate）或「移轉」（Transfer）策略的可行性。在有限的資源之下，單一部門僅關心單一策略，無法照顧到風險管理之全貌。甚至我們聽到客戶說，她只是智慧製造的技術人員，「風險管理是老闆的事」。
其實，最稀有的資源不是部門預算，而是領導者的注意力。面對一再刷新紀錄的災害，到底領導者該有何種新思維？
在協助全球知名半導體大廠教育訓練中，一間最賺錢的廠最先導入「災後復原計劃」（Disaster Recovery Planning）。以往他們不乏災後全損的例子，上億元設備就這樣報銷。由於該設備金額在保險自付額以內，企業得自掏腰包，自行支付損失。這樣的觀念驗證一個基本的觀念：「營運越好，越不能出問題」。廠長強調：要將賺到的錢「安全」的放進口袋。
這驗證了一句話：風險管理，人人有責。
IDC（2017）也特別強調：「它（資安）並非是IT 安全—此觀點造成限制並將解決方案投射在疲於奔命的IT團隊；相反的，它是企業風險—此觀點涉及部門、高階主管與董事會，並協助定義在這個流程中IT 所扮演的角色」。
因此，風險管理不單只是風險部門的工作。除了高階主管，本書的溝通對象為廠長、資安長、財務保險、智慧製造、工安人、緊急應變小組、資安人或資訊人。此外，保險相關的從業人員也是本書關心的對象。
不為人知
這個實務領域並沒有統一的語言。常見的為風險管理、災害管理，或災後重建。倘若以Google 查Disaster Recovery（災後復原），發現大部分的討論偏向於IT 軟硬體。除了災前的客戶訓練與計劃，保險人同樣關注災後客戶的搶救減損。
那麼，到底該如何界定這一行？
根據我國最新的《行業標準分類》（2016），行政院將全台行業類別規劃517 個細項。有趣的是，「復原」僅有「電腦災害復原處理服務」（6209）與「歷史遺址及建築物之翻新及復原」等兩個行業細項。
但是，「機械設備之實質改造、翻新、重製，視同製造活動」，依性質分別歸入C 大類製造業25-29中類之適當業別。僅有產險有明確的類別，屬於K大類「金融及保險業 6520 財產保險業」。然而，與保險有關之公證服務僅被歸類魚6559 細類「其他保險輔助業」。由於《行業標準分類》統計我國行業主要的經濟活動，因此災後復原並未反映在真正的產值，足以說明這個行業的特殊屬性。
依我個人的觀察，國內投入24 ／ 7（一周七天，一天24 小時）災後復原專業業者的數量鳳毛鱗爪。甚者，擁有跨國復原公司經驗，兼顧IT 與設備復原者，可能用手指就可以數的出來。即便擴大涵蓋產險、保險經紀人與公證服務等相關專業，可達數百或上千位專家或顧問。然而，這個領域和客戶簽訂保密協定，外界鮮少有人得知災後復原的始末。
在社會大眾的印象中，這個行業宛如戴上神秘的面紗，更難傳達正確的搶救減損的觀念。因此，等到危機來臨時，第一線人員與主管忙著應付大小瑣事，無暇冷靜思考、分析與規劃。
應用層次
許多消防演習重視滅火與救人，但該如何協助關鍵性的設備資產進行減損搶救？本書希望提供跨部門協同學習之參考依據。為了避免艱澀難懂的專有名詞，本書以淺顯易懂的角度解釋常見的問題與觀念，並輔以實際案例加以說明。
過去進入災害現場的經驗，驅使我蒐集整理國內外經典案例。為了讓讀者身歷其境，本書整理隱身在新聞或書籍的小故事，如：美國曼恩峽谷（Mann Gulch）森林火災（1949年）、日本阪神大地震製鞋產業（1995年）、美國NASA火星氣候軌道探測器事件（1998年）、美國半導體廠J晶片廠火災（2000年）並牽動手機業者K與N國際市場版圖、台灣知名R網路書店水災（2001年）、美國911事件上千名員工緊急疏散（2001年）、台灣SARS事件（2003年）、美加大停電（2003年）、台灣A銀行資安事件處理始末（2006-2008年）、知名M石油企業漏油事件（2010年）、智利礦場事故（2010年）、日本福島核電廠海嘯（2011年）、日本G公司駭客入侵（2011）、S石化廠爆炸（2011）、台大竹東分院跳電處理始末（2013-2015年）、美國知名L零售業者駭客入侵（2013年）、台灣PCB業者B公司火災（2015年）、美國E公司資安事件總座與資安長下台（2017）、英國O航空公司電腦當機（2016-2017年）、梅雨季超大豪雨（2017年）、美國智慧製造H工廠被駭客入侵（2017年）、美國C公司資安事件造成全球性客戶問題（2020）、歐洲能源集團U公司資安事件（2022）。
本書的應用涵蓋四個層面：（1）無任何危機管理計畫、規劃或標準導入者、（2）已有計畫、規劃或標準導入者、（3）首次碰到災害急需迅速復原者、（4）欲執行「認知」（Awareness）訓練推廣者。
針對（1），本書提供簡易的參考指南，特別是中小企業；針對（2），本書協助檢視自己不足之處，提供下一步的參考方向；針對（3），本書提供災後復原所需的觀念與經驗；針對（4），本書補充相關的知識與經驗缺口，提供訓練課程所需的教材內容。
從廣義的角度來看，災害管理的研究涉及範圍相當廣泛。由於恐怖攻擊或種族暴動較少在國內發生，並不屬於本書討論的範圍。本書重點不在大家熟知的保安保全、人道救援、社區重建或心理重建，而是較少觸及的組織管理層面。
本書的一小步
本書嘗試從韌性、風險管理、營運持續（Business Continuity）與災後復原（Disaster Recovery）等角度，跨界討論工安（Safety）與資安（Security）的議題。
在許多企業中，「資安」與「工安」都是花錢的單位，分屬於資訊與勞工安全衛生環保不同部門的業務範疇。然而，在風險管理的整體性考量之下，工安與資安皆為系統性的風險，但在公司日常業務下甚少交集。
這是本書的一小步。從風險的角度，希望可以建立「資安」與「工安」溝通的橋樑。Gartner（2015）在《2020 資安情境》（Cybersecurity Scenario 2020）強調將實體的「安全」納入「資訊安全管理系統」（Information Security Management System，ISMS）的重要性。
因此，雙領域結合的風險思維，不僅是現在的熱門話題，在AI 或智慧機械人時代更具有前瞻性。除了工安與資安領域之外，本書整合其他領域的實務經驗，以便在推動方案上具體可行。從組織管理角度，本書有助於災前任務編組與災後組織變動之參考；從專案管理角度，本書有助於災前的持續營運規劃與災後復原方案之執行；從危機溝通角度，本書提供組織需面對橫向與縱向的溝通問題；從教案設計角度，本書濃縮過去APEC 工作坊經驗，提供給有志推動情境式教學者參考；從個案研究角度，本書可協助風險管理、工安或資安部門從他人案例中借鏡，避免未來重蹈覆轍。
前瞻性思考
韌性不僅是國際政策的顯學，更是組織迅速恢復營運的關鍵。至今，國內外客戶將之列為稽核重點，甚至成為領先同業的競爭優勢。這些都可以從本書的經典案例獲得實務上的驗證。
在變動的社會中，我們比以往接觸更多的風險。不管是巨災還是人禍，災害是你猜不透的敵人。從個人到組織、從社交媒體到人工智慧，如何正向面對它呢？舉例來說：
（1）福禍相倚是人生常規，企業經營也是如此。透過風險管理，以達個人風險緩衝之成效。幸福企業除了提供完整的員工福利，也要協助員工做好風險管理。
（2）現今通訊與媒體科技無時無刻吸引我們的注意力。一旦稍有不慎，可能就會增加自己曝險的機會。在注意力弱化與匱乏時候，個人與組織更要在平日加強因應風險的能力。
（3）在人工智慧（AI）或智慧機械人時代，許多大量、單一或重複性的工作已經被取代。目前它們無法取代人類在緊急的狀況下做出決策。因此，現場人員必須具備緊急應變與災害管理的能力。
在面對動態的全球性或在地化威脅，許多挑戰仍有待跨界先進的交流與指導。我有幸在跨界學習中，從前輩、先進、同事與客戶的學習交流中累積寶貴的經驗。再多的言語無法表達我的感謝之意，那就以這本小書做為回饋的禮物。
請一同與我展開這趟奇幻的學習之旅。
2024專利防護中