下列何者非屬特定風險之特性
在風險管理領域，理解風險的特性是有效識別、評估和應對風險的基礎。特定風險，又稱固有風險或內在風險，是指在不採取任何控制措施的情況下，一項活動或某個項目本身固有的、潛在的負面影響。了解特定風險的特性，有助於我們區分哪些是風險固有的屬性，哪些是通過控制措施可以改變或消除的。本文將深入探討「下列何者非屬特定風險之特性」，並詳細解析特定風險的各項特徵。
特定風險的內涵與定義
特定風險，顧名思義，是指一種風險的獨特性質，它與風險發生的根源、性質以及影響方式緊密相關。它關注的是風險本身的「是什麼」以及「如何發生」的問題，而不是風險發生的「可能性」或「影響程度」在現有控制下的表現。在很多風險管理框架中，特定風險是評估殘餘風險（在採取控制措施后剩餘的風險）的起點。
特定風險的關鍵特性
要準確判斷「下列何者非屬特定風險之特性」，首先需要理解特定風險具備哪些核心特徵。這些特徵是其本質屬性的體現。
1. 固有性 (Inherent Nature)
特定風險是事物或活動本身固有的。這意味著無論是否存在外部干預或管理措施，這種風險都可能存在。例如，一項涉及高空作業的建築項目，其「高空墜落」的風險是其固有的一部分，即使有安全繩和安全網，這個風險依然存在於作業本身。
2. 潛在性 (Potentiality)
特定風險是潛在的，意味著它尚未發生，但有可能發生。它代表了一種不確定性，一種未來可能發生的負面事件。這種潛在性是風險的核心，如果風險必然發生，那它就不再是風險，而是已經發生的事件。
3. 根源性 (Root Cause)
特定風險與其發生的根本原因緊密相連。識別特定風險，往往需要深入挖掘導致該風險發生的根本原因。例如，信息系統故障的特定風險，其根源可能在於軟體設計缺陷、硬體老化、網路不穩定等。
4. 獨立性 (Independence)
在討論特定風險時，通常假定它是在沒有外部控制措施干預的情況下存在的。這意味著特定風險的評估不應受到現有控制措施的影響。換句話說，我們評估的是「如果沒有這些安全規程，這個操作有多危險？」而不是「有了這些安全規程，這個操作有多危險？」
5. 可變性 (Variability)
儘管我們評估特定風險是在沒有控制措施的情況下，但特定風險本身所代表的事件或情景的可變性是存在的。例如，天氣變化的風險，其具體表現（如風力大小、降雨量）具有可變性，但這並不改變「天氣變化」這個風險的固有特性。
非屬特定風險特性的範疇
基於對特定風險特性的理解，我們可以清晰地界定哪些概念不屬於特定風險的特性。這些概念通常與風險的發生概率、影響程度、控制措施的有效性或殘餘風險有關。
1. 發生概率 (Likelihood/Probability)
特定風險的定義並不直接包含其發生的概率。概率是對風險發生的可能性進行的量化，它是在考慮了特定風險之後，對風險發生的「可能性」進行評估。控制措施的有效性會直接影響風險發生的概率，因此，概率是風險評估的產物，而非特定風險本身的固有特性。
舉例： 假設「火災」是一個特定風險，那麼「火災發生的概率為10%」就是對這個風險的概率評估，而不是火災這個特定風險本身的特性。
2. 影響程度 (Impact/Consequence)
類似地，特定風險的定義也不直接包含其一旦發生所造成的後果或影響的嚴重程度。影響程度是對風險發生后可能造成的損失大小的衡量。控制措施旨在降低影響程度，因此，影響程度也不是特定風險的固有特性。
舉例： 「自然災害」是一個特定風險，而「自然災害可能造成100萬元的經濟損失」是對該風險影響程度的評估，並非該特定風險的特性。
3. 控制措施的有效性 (Effectiveness of Controls)
控制措施是為了降低風險的發生概率或影響程度而採取的行動。特定風險是在沒有這些措施存在的情況下進行評估的，因此，控制措施的有效性自然不屬於特定風險的特性。事實上，評估控制措施有效性的目的是為了確定殘餘風險。
舉例： 「安全培訓」是為了降低「操作失誤」風險的控制措施，其有效性不屬於「操作失誤」這個特定風險的特性。
4. 殘餘風險 (Residual Risk)
殘餘風險是指在實施了風險應對措施（包括控制措施）之後仍然存在的風險。它是在特定風險基礎上，通過管理和控制而產生的。因此，殘餘風險是風險管理過程的結果，而不是特定風險本身的特性。
舉例： 在對「網路攻擊」這個特定風險採取了防火牆和入侵檢測系統之後，剩餘的「低概率、中等影響」的風險就是殘餘風險，它與「網路攻擊」的特定風險特性不同。
5. 可接受風險水平 (Acceptable Risk Level)
可接受風險水平是組織願意承擔的風險程度，是風險管理的決策結果，與特定風險的固有性質無關。
總結：識別「非屬特定風險特性」的關鍵
在面對「下列何者非屬特定風險之特性」這類問題時，關鍵在於識別出那些描述風險「有多大可能性發生」或者「發生後有多嚴重」的概念，以及那些描述「採取了什麼措施」或「措施效果如何」的概念。特定風險的特性，更側重於風險的「本質」、「來源」以及「固有存在性」。
核心要點：
- 特定風險是事物本身的固有屬性。
- 特定風險關注的是「風險是什麼」，而不是「有多大的風險」。
- 發生概率、影響程度、控制措施的有效性、殘餘風險都與風險的量化和管理有關，而非特定風險的固有特性。
常見問題 (FAQ)
1. 如何區分特定風險與殘餘風險？
特定風險是在不考慮任何控制措施的情況下，對某項活動或某個項目固有風險的評估。而殘餘風險是在實施了風險應對措施（包括控制措施）之後，仍然存在的風險。簡單來說，特定風險是「未被馴服的野獸」，殘餘風險是「經過訓練和約束后，仍然可能造成一定麻煩的野獸」。
2. 為什麼說發生概率不是特定風險的特性？
發生概率是對特定風險「發生可能性」的量化。特定風險本身是指「可能發生的不確定事件」，而概率則是衡量這種不確定性的一種度量。例如，「火災」是特定風險，但「火災發生的概率」則是在評估了現有火災隱患、預防措施等因素后得出的結果。
3. 控制措施的有效性如何影響風險？
控制措施旨在降低特定風險發生的概率，或減輕其一旦發生的影響程度。因此，控制措施的有效性直接影響的是殘餘風險的大小，而不是特定風險本身的固有特性。有效的控制措施可以顯著降低殘餘風險，但無法改變特定風險本身的性質。
4. 如果我無法區分，應該如何思考？
嘗試將問題中的概念套入「這個事物/活動本身的內在性質是什麼？」這個框架。如果某個概念描述的是「這個事物/活動本身就有的、不以人為干預為轉移的潛在危險」，那麼它更可能是特定風險的特性。反之，如果它描述的是「這個危險發生的可能性有多大」、「如果發生了會怎麼樣」、「我們做了什麼來阻止它」或者「我們阻止了多少」，那麼它就可能不是特定風險的特性。
5. 在實際風險管理中，區分特定風險和殘餘風險的目的是什麼？
區分特定風險和殘餘風險至關重要，它有助於我們：
- 準確評估風險： 了解風險的固有性質，才能更有針對性地進行管理。
- 有效設計控制措施： 針對特定風險的根源和性質，設計最有效的控制措施。
- 衡量控制效果： 通過比較特定風險和殘餘風險，評估控制措施的有效性。
- 做出明智的決策： 確定可接受的風險水平，並採取適當的風險應對策略。
