風險與機會不是兩條平行線
從 ISO 4.1／4.2 到 6.1 的「轉階」與雙軌評估
被切斷的那一段
在輔導與稽核的現場，常看到一種斷裂：組織很認真地做了 4.1、4.2 的脈絡分析，產出一份漂亮的內外部議題清單與利害關係者需求表；另一邊，職安衛單位也很認真地做危害辨識與風險評估，JHA、風險矩陣一應俱全。但兩份東西各做各的，中間那條把「組織層級的議題」轉化為「職安衛層級的風險與機會」的路，卻常常是斷的。
常見的斷裂結果
- 4.1／4.2 變成應付驗證的文件，沒有實質輸入下一階
- 6.1 退化成「只做危害辨識」的例行公事
- ISO 真正想要的「由上而下、脈絡驅動的風險思維」反而不見了
- 6.1.2.3 機會評估——被明文要求的那一半——幾乎空白；即使有做，也常是把風險改善的成果倒過來說，那不是機會評估
這篇文章想把那條被切斷的路接回來，並提出一個在實務上整理出來、可操作的流程模型：盤點 → 轉階 → 雙軌 → 回流。最後用一個現在每間公司都會遇到的案例——導入 AI 系統——從頭走一遍。
4.1 / 4.2
職業安全衛生？
功能別追蹤
接回評估
標準到底要求什麼
先把「標準的要求」與「組織自訂的作法」分清楚，這對同行很重要，因為稽核時兩者的舉證責任不一樣。ISO 45001:2018 採用高階結構（Harmonized Structure），相關章節如下：
理解內外部議題、工作者與利害關係者需求與期望
明確要求把 4.1 / 4.2 的脈絡納入考量——這條串接是寫死的，不是選配
職安衛風險「以及對職安衛管理系統的其他風險」之評估
職安衛機會「以及其他機會」之評估——與風險並列，獨立列出
標準的關鍵訊息
6.1.2.2 與 6.1.2.3 的措辭告訴我們：同一個議題，可能同時牽動職安衛這一軌，也牽動管理系統其他面向那一軌；機會被獨立列出、要求評估，其重要性與風險並重。
（相同結構也存在於 ISO 9001:2015 的 6.1，只是沒有危害辨識那一段，這也是為什麼一個跨部門議題，常會同時落進品質與職安衛兩套系統。）
可操作的流程：盤點 → 轉階 → 雙軌 → 回流
階段一・組織營運盤點（對應 4.1／4.2）
這一階是「全組織營運層級」的盤點，不是職安衛單位獨包。作法上：
- 依特性以 PESTL（政治、經濟、社會、科技、法律）等構面排序內外部議題
- 各功能別針對自身目標，篩出可能的問題或機會
- 詳細描述後，判定它是「機會」還是「風險」
主詞是「各功能別」——財務看財務的、IT 看 IT 的、職安衛看職安衛的。
轉階判斷（關鍵一問）
盤點出來的每一個項目，接著問一句關鍵的話：「這是否涉及職業安全衛生？」
是，才轉入下一階，交到職安衛的 6.1；否，則留在原功能別自己的管理軌道。這道關卡界定了「誰該為這個項目的風險與機會負責評估」。
階段二・雙軌評估（對應 6.1）
- 對轉進來的項目做深入評估
- 先問機會：有哪些正向發展可以主動提升安全績效？（獨立識別，不是從風險改善結果推導出來）
- 再問伴隨風險：執行這個機會時，本身帶來哪些新的安全危險？
- 得出綜合判斷——同一項目可能同時帶來機會與新風險
- 即使機會執行成功，殘餘風險仍需持續控管
- 被判定與職安衛無關的項目
- 回到各功能別自行評估
- 納入日常管理與定期高階會議
- 必要時納入該功能別自己的 ISO 系統（9001、27001 等）
回流機制
右軌不是終點。一個原本被歸為「非職安衛」的項目，在實際執行或使用中浮現職安衛問題時，該部門就把它納入自己的風險評估，並回流到職安衛這一軌重新評估。
這呼應的是 ISO 把「稽核發現、事故調查」回饋到危害辨識與持續改善（第 9、10 章）的精神——風險與機會不是盤點一次就定生死，而是動態循環。
案例：全公司導入 AI 系統
用一個現在最有感的例子，把這張圖從上到下走一次。
全公司導入 AI 系統
起點不在職安衛。「全公司導入 AI 系統」是 IT 部門在自身營運脈絡（4.1／4.2）裡提出的既定計畫——它落在 PESTL 的科技（T）構面，由 IT 主導。在這個時點，職安衛部門還沒上場。不要因為最後談的是安全，就把整件事的起點也算到職安衛頭上。
轉階，才輪到職安衛。當這個項目被判定「涉及職業安全衛生」，它才轉階交到職安衛部門。職安衛部門承接時，把它當成「上頭交辦的既定工作」；但深入評估後，從這件既定工作裡看見了機會。
AI 視覺辨識強化施工現場管理——即時偵測未戴安全帽、誤入危險區域
以 AI 辨識增加門禁管控能力，讓人員進出與權限更精準
即時偵測不安全行為，當下發出警報或提醒，把行為管制做得更即時
AI 系統故障或當機時，辨識停擺、警報不響、門禁失靈；誤判亦可能誤導現場
綜合結論：既是機會也是風險
同一個 AI 導入項目，既是機會也是風險；就算機會執行得很好，「系統失效」這類殘餘風險依然存在，必須持續控管。配套措施包括：停機時的人工接手程序、備援與告警機制，以及一個根本原則——不要把安全完全押在單一 AI 上。
與職安衛無關的部分（純效率、資安、資料治理）留在 IT 等功能別自行管理，並可能納入 ISO 27001；如果使用中冒出職安衛問題——例如辨識誤判導致現場人員受傷，或員工對 AI 監控產生身心壓力——就由回流路徑接回職安衛深入評估。
把「機會」做進系統：職安衛最常漏掉的一半
為什麼要花這麼多篇幅談「機會」？因為這是職安衛實務裡最容易被做掉的一塊——而且即使有人做，做法也常常是錯的。
最常見的錯誤做法：把機會評估放在風險改善之後
很多組織的做法是：先做完危害辨識與風險評估，改善了風險，然後回頭問「我們的安全有沒有提升？」——把改善成果當作「機會」列報。
這不是機會評估。風險降低之後安全自然提升，那是風險控制的結果，是 6.1.2.2 應有的輸出。把它當成 6.1.2.3 的機會，等同於把同一件事算了兩遍，而且掩蓋了「機會」真正的意義。
機會評估的正確邏輯：主動識別，獨立進行
6.1.2.3 要求的機會，是獨立識別出來的正向發展——不是從風險改善結果推導出來的，而是主動問：「有沒有什麼條件、方法或技術，可以讓我們的安全績效往上走？」
- 新技術導入（如 AI 視覺辨識）→ 能主動提升現場管控能力
- 製程再設計 → 從源頭消除暴露，而不只是「降低」它
- 組織文化變革 → 強化全員安全意識，超越現有管控水準
- 新的合作模式或工具 → 讓教育訓練或緊急應變更有效
為什麼機會被忽略？
我們的訓練讓我們對「危害」極度敏感，對「機會」卻相對陌生。久而久之，6.1 在很多組織裡只剩下 6.1.2.1 與 6.1.2.2（辨識危害、評估風險），6.1.2.3（評估機會）被輕輕帶過，甚至空白。
但機會被獨立列為一個子項，代表標準認為它與風險同等重要——而且它的評估邏輯是完全不同的路徑：不是從「哪裡有問題」出發，而是從「哪裡有潛力」出發。
機會的價值不只在「合規」。當職安衛能從一個科技導入案裡，主動提出「用 AI 強化現場管理」這種機會，職安衛單位的角色就從「踩煞車的人」變成「幫公司把事情做得更安全也更有效率的人」。這對職安衛在組織裡的話語權，是質的改變。
AI 案只是其中一例；自動化、製程變更、ESG、淨零轉型，每一個都同時是風險與機會的載體。
落地的關鍵與常見誤區
機會與風險不是互斥選項
一個項目被判為「機會」，不代表它沒有風險。AI 案就是典型：機會與其伴隨風險、殘餘風險是綁在一起的。評估表如果只能二選一（不是機會就是風險），設計上就有問題。
轉階的判準要明文，而且要留下紀錄
「是否涉及職安衛」聽起來很直觀，但實務上灰色地帶很多。建議把判準、判定者、判定理由文件化；否則稽核時說不清楚「為什麼這個項目沒進職安衛評估」，就會變成缺失。
回流要有機制，不能只靠默契
右軌項目浮現職安衛問題時，要靠什麼把它接回來？事故通報？定期跨部門會議？管理審查（9.3）的議程？沒有明確的回流觸發點與責任人，這條路就是斷的——而它斷掉的後果，往往是事故發生後才被發現。
責任界面要講清楚：誰負責這個項目？
雙軌最怕的是「兩邊都以為對方在管」。轉階後的項目由職安衛主責評估，但控制措施的執行往往落在原功能別（AI 系統由 IT 維運）。介面沒切清楚，殘餘風險就會卡在縫隙裡沒人處理。
與管理審查、持續改善掛勾
4.1／4.2 的議題會變，風險與機會也會變。把這套盤點—轉階—雙軌—回流的結果，固定餵進管理審查與年度更新，它才會是活的系統，而不是一份每年複製貼上的文件。
結語
接回那條被切斷的路
ISO 的風險思維，從來不是「做一張風險矩陣」那麼窄。它是一條從組織脈絡（4.1／4.2）出發、經過判斷與分流、進入職安衛評估（6.1）、再透過回流不斷修正的動線。
把這條動線接起來，職安衛才不會是孤島，而是真正嵌進組織營運決策的一環。
而 AI 這類新科技的到來，恰恰是檢驗這條動線通不通的最好試金石：它一開始不是你的，但只要它碰到了安全，它遲早會轉到你手上。準備好那張圖，你就不會手忙腳亂——你會看見風險，也會看見機會。
探索更多來自 瀚博職業衛生聯合技師事務所 的內容
訂閱即可透過電子郵件收到最新文章。