要用 AI 建立風險登記冊，先定義目標及範圍，收集已核實的風險和控制證據，並使用機構已批准的術語及評分尺度。AI 可以整理成因—事件—影響陳述、識別重複項和指出缺失欄位；真實負責人必須驗證風險水平、應對措施、觸發條件、覆核日期及任何風險接受決定。

風險登記冊是持續使用的管治記錄，不是泛泛列出壞結果的清單。負責任的 AI 工作方法提供通用邊界：來源證據和可問責的人始終是真源。

關鍵要點

每項風險都連結目標、範圍和時間窗口。

將成因、不確定事件及影響分開，避免含糊憂慮。

建議新行動前，先記錄現有控制及運作證據。

只使用機構已批准的可能性、影響及升級方法。

指定真正的風險負責人，並為應對措施分配行動負責人。

設定可觀察觸發條件及覆核日期，讓登記冊持續可操作。

風險接受和最終決定由獲授權人士負責。

甚麼令風險登記冊真正有用？

一份可用的登記冊會說明哪些不確定性可能影響目標、為何可能發生、可能帶來甚麼後果、哪些控制正在運作、誰負責，以及下一步怎樣處理。覆核者可追溯證據、質疑判斷並比較版本。分數只支援討論，不能自動產生決定。

UK Orange Book 將風險管理視為達成目標所需的管治及決策活動，要求結構化識別、評估、處理、監察、報告、協作及持續改進。［1］NIST SP 800-30 同樣強調語境、威脅、脆弱性、影響、可能性、不確定性和溝通，而非孤立數字。［2］

欄位	用途
風險 ID/版本	穩定引用及審計歷史
目標/範圍	不確定性可能影響的成果
成因—事件—影響	來源、可能事件及目標後果
類別	機構批准的分類體系
現有控制措施	現時正在運作的措施
控制證據	測試、報告、負責人確認或觀察結果
風險水平	按批准方法得出的評估
風險負責人	對整體風險負責的人
應對措施/行動	按政策容許的規避、降低、轉移、接受或監察
行動負責人/截止日期	執行具體行動的人及期限
觸發條件/升級處理	可觀察訊號及必要回應
覆核/狀態	覆核、質疑覆核、狀態及決定記錄

步驟 1：定義目標、範圍及權限

先寫可能受影響的目標，再記錄機構、項目、流程、地區、時間窗口、依賴項及排除項。同一風險若有人按六星期交付理解，另一人按全年營運理解，就無法得到一致結論。

同時記錄管治政策、風險分類體系、評分尺度、風險偏好或容忍度負責人、升級路徑及接受權限。這些內容不能由 AI 發明。若沒有批准尺度，應暫停評分並建立政策決策項，不要從網上複製流行矩陣。

範圍欄位	合成例子
登記冊 ID	`RR-SERVICE-12`
目標	在約定日期完成已批准的服務遷移
評估週期	準備期至遷移後 30 日
納入範圍	人員、供應商依賴、數據交接、營運準備
排除範圍	無關產品策略及長期市場預測
風險政策	`RM-POL-04`，負責人確認當前版本
決策權限	政策指定的治理委員會角色
覆核頻率	每兩星期一次，亦在觸發條件發生時覆核

任務、里程碑及依賴項應放在項目計劃中。風險登記冊可以連結這些記錄，但不能取代它們。

步驟 2：在草擬風險前收集證據

收集能揭示不確定性的材料：目標與範圍、假設、依賴項日誌、事件及未遂事件、稽核發現、控制測試、供應商承諾、營運指標、政策義務和主題專家訪談。每項材料保留文件標識及核對日期。

把事實、觀察結果、假設及假說分開。「合約承諾提前五日通知」是有來源事實；「高峰期可能錯過通知窗口」是需要成因及影響證據的風險假設；「供應商不可靠」則是無依據判斷。

不要把機密合約、安全發現、個人資料或受特權保護的專業意見提交到未獲批准模型。可用經刪減摘要或合成記錄測試結構。

步驟 3：編寫成因—事件—影響陳述

使用固定形式：

因為成因，存在發生 不確定事件 的可能，從而對 目標造成影響。

例如：「因為已批准遷移窗口與供應商變更凍結期重疊，所需設定可能無法在切換前交付，從而延遲服務遷移。」這比「供應商延誤風險」更可操作。

成因是有證據的不確定性來源；事件是可能發生也可能不發生的事情；影響是對目標的後果，不能補造規模。已發生事項應轉入問題管理；若仍有剩餘不確定性，則連結兩份記錄。不同負責人、控制措施、觸發條件或應對措施的風險不要強行合併。

步驟 4：記錄現有控制及運作證據

列出真正改變可能性或後果的預防性、指導性、偵測性及糾正性控制措施。每項控制寫明負責人、頻率、目標值、運行證據、最近一次測試、例外和依賴項。

書面政策不自動等於有效控制。Orange Book 區分控制設計與根據客觀資料判斷其運作效果的保證活動。［1］GOV.UK 撥款指南亦要求持續討論風險登記冊，並記錄和保證活動相關控制。［3］

控制狀態	含義
已設計但未實施	已有設計，尚未運作
運行但未經測試	負責人報告正在運作，獨立證據待補
測試發現例外	有測試，例外已連結
測試確認有效	證據涵蓋所述期間及範圍
未知	證據缺失或衝突

AI 可發現空欄位，卻不能觀察控制。不能讓流暢摘要把 unknown 靜默提升為 effective。

步驟 5：用 AI 建立風險登記冊時只讓它整理和質疑

提供批准範本、範圍、來源標識、風險陳述、控制措施記錄及禁止補造規則：

只把已提供證據整理成每項風險一列。
保留來源 ID，並分開成因、不確定事件及影響。
不得把通用知識中的風險寫成適用於本機構的事實。
不得虛構可能性、影響、分數、風險偏好、控制有效性、
負責人、期限、應對措施、風險接受或批准狀態。
缺失及衝突證據標記 [VERIFY]，重複候選另行列出。

相似措辭不證明兩項風險具有相同成因、事件、控制措施或負責人，只有負責人確認後才能合併。NIST 提醒生成式 AI 會帶來虛構內容、私隱、資訊完整性及人機協作配置風險。［4］保留 ID、未知和人工批准有助暴露問題，但不會消除風險。

步驟 6：只應用機構批准的評估方法

使用機構定義的可能性/影響標準、評估週期、彙總規則和應對措施閾值，並引用當前受控版本。若需要計算，在受保護試算表或風險系統內使用已測試公式。

不得讓 AI 給出概率、嚴重程度或「行業標準」分數。流暢文字不是測量證據，5×5 矩陣也不是普遍標準。評估旁要記錄證據品質、可信度、易變的假設、範圍、依賴項及異議。

分開固有風險水平、考慮已證實控制後的目前及剩餘風險水平、行動完成後希望達到的目標風險水平，以及獲授權人士按政策作出的風險接受。目標值不是已實現成果，風險接受也不由公式自動產生。

步驟 7：指定負責人、應對措施及風險觸發條件

風險負責人對理解、監察和管理整體風險負責；行動負責人交付某個行動。對應對措施記錄理由、行動、負責人、截止日期、資源依賴項、預期控制措施變化、驗證方法及次生風險。

如需比較成本收益，應連結獨立的成本效益分析，不能把財務假設藏在登記冊備註。

觸發條件可以是控制測試失敗、供應商通知、閾值違約、政策變化、事件或依賴項延誤。寫明訊號、來源、閾值/事件、覆核頻率、負責人及升級處理行動。觸發條件只啟動覆核，除非政策明確授權，否則不會自動批准回應。

步驟 8：獨立質疑覆核並批准版本

邀請理解目標、控制、營運、財務、安全、法律義務和受影響用戶的人獨立質疑覆核。檢查目標與評估週期是否一致，風險是否被寫成問題或含糊憂慮，控制措施是否真實並有測試，評分是否遵守尺度，負責人是否能行動，以及應對措施是否帶來新風險。

保留少數意見及未解決問題。風險負責人提出更新，指定權限批准接受決定。發佈版本要包含生效日期、覆核者、未完成的行動及證據資料包連結。

步驟 9：條件變化時覆核

按固定覆核頻率覆核，亦在觸發條件、目標、控制措施、事件、依賴項、證據或負責人變更時立即覆核。比較版本，不覆蓋歷史。

情景分析可檢驗風險在不同連貫假設下的表現，但情境不是可能性證據。核查 AI 輸出可驗證主張和引用，卻不會授予風險決策權限。

每次覆核都要問：原因、事件、影響、控制措施、證據、風險程度、處置方式、觸發條件、負責人或政策中，哪些有所改變？沒有這些說明的狀態顏色，幾乎沒有審計價值。

如何避免登記冊退化成風險清單？

總結

從目標及已核實證據開始，而非泛化提示詞。
寫具體成因—事件—影響，並分開有效問題。
按運作證據評價現有控制措施。
由政策規定評分尺度、計算方法、風險偏好及風險接受權限。
AI 只做有邊界的整理與質疑覆核。
指定可問責負責人、可觀察觸發條件及覆核條件。

常見問題

風險登記冊和 RAID 日誌相同嗎？

不完全相同。RAID 日誌通常合併風險、假設、問題及依賴項；風險登記冊專注風險管治，可連結其他記錄，同時保留控制措施、風險水平、責任歸屬、應對措施、觸發條件和風險接受欄位。

風險和問題有甚麼分別？

風險是可能影響目標的不確定事件或條件；問題已經發生，需要立即處理。問題可能產生新風險，應連結記錄而非改寫歷史。

為何使用成因—事件—影響形式？

它把不確定性來源、可能發生的事件及對目標的意義分開，有助設定負責人、控制措施、觸發條件和質疑覆核，避免「進度風險」之類含糊標籤。

是否應記錄固有及剩餘風險？

只有機構政策定義這些概念時才使用，並寫明每種視圖包含哪些控制措施和證據。不能把目標值評分寫成應對措施已經生效。

AI 能為風險評分嗎？

AI 可以檢查已提供評分是否符合批准的文字定義，但不應選擇可能性、影響、可信度、風險偏好或風險接受。獲授權人士輸入有證據的評分，確定性工具負責計算。

誰應該成為風險負責人？

選擇有足夠權限及資料來監察風險、維護控制措施、推動應對措施和升級處理的人。行動負責人可執行具體任務，但整體問責仍需明確。

甚麼是有效的覆核觸發條件？

它要足夠早、可觀察，並有明確來源、閾值或事件、覆核頻率、負責人及升級處理動作。「情況變差」不可測試，具體控制措施失效或依賴項期限則可以。

多久覆核一次風險登記冊？

覆核頻率應與目標重要性和波動程度相稱，並加入事件觸發。目標、假設、控制措施、事件、依賴項、政策、證據品質或負責人變更時均要覆核。

來源

HM Treasury, The Orange Book: Management of Risk—Principles and Concepts — https://www.gov.uk/government/publications/orange-book/the-orange-book-management-of-risk-principles-and-concepts
NIST, Guide for Conducting Risk Assessments (SP 800-30 Rev. 1) — https://csrc.nist.gov/pubs/sp/800/30/r1/final
GOV.UK, Risk, Controls and Assurance — https://www.gov.uk/government/publications/government-functional-standard-govs-015-grants/7-risk-controls-and-assurance-html
NIST, Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile — https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence

Sources checked 2026 年 9 月 4 日。

如何用 AI 建立風險登記冊：寫清成因、控制證據與負責人