Biz Erm

What it does

When your agent uses it

• ERM implementation
• Risk-system build
• Risk-appetite statement drafting
• Three-lines setup

Example prompts

• “/biz-erm”

Workflow steps

3 steps, taken from the first numbered list in SKILL.md.

1. 1分層診斷（治理→文化→流程→工具）
2. 2設計可執行的風險治理結構
3. 3避免「有報表沒行動」的 ERM 陷阱

What it can do on your machine

Read from SKILL.md and the folder at commit 4e7f4f8. It shows what the files ask for, not the result of running them.

• Tool permissions

  Pre-approves nothing: there is no allowed-tools line, so your agent's usual permission prompts apply.

  From allowed-tools in the SKILL.md frontmatter.

• Runs code

  No scripts in the folder and no shell commands in SKILL.md (its code samples are markdown).

  From the folder's file list and the shell code blocks in SKILL.md.

• Network

  No URLs in SKILL.md.

  From URLs in SKILL.md, links to its own repository left out.

• Credentials

  Names no API keys, tokens, secrets or passwords.

  From names ending in _API_KEY, _TOKEN, _SECRET, _KEY or _PASSWORD in SKILL.md.

Context cost

Biz Erm loads about 2.3k tokens when it runs, and up to ~12k if it reads all its reference files. Until then it costs about 193 tokens; SKILL.md has 458 words of instructions outside code blocks.

Always · name and description, kept in context so the agent knows when to use it

~193

When it runs · the whole SKILL.md, loaded when a task matches

~2.3k

With references · SKILL.md plus every file in references/, read only if the agent opens them

~12k

Estimates: characters ÷ 4, the usual rule of thumb; real counts depend on the model's tokenizer. Scripts and assets cost tokens only if the agent reads them.

Safety

Automated static check — not a guarantee. Review scripts before installing. It scans the text of SKILL.md for risky patterns (piping downloads into a shell, reading credential files, hidden Unicode, destructive commands); files beside SKILL.md are not scanned.

SKILL.md

The full file from asgard-ai-platform/skills at commit 4e7f4f8, republished under its MIT licence (© asgard-ai-platform). 458 words, ~2,307 tokens.

name

biz-erm

description

Enterprise risk management (ERM) framework layer — integrates COSO ERM 2017 (five components, 20 principles), ISO 31000, three-lines model, risk appetite, risk heatmap, and key risk indicators (KRI) into a complete governance playbook covering structure through culture. Use for ERM implementation, risk-system build, risk mapping, risk-appetite statement drafting, three-lines setup, CRO role design, or Taiwan FSC corporate-governance evaluation response. Triggers: 『ERM 導入』『風險管理框架』『COSO』『風險地圖』『風險胃納』『KRI』『CRO 職責』『三道防線』『風險委員會』『ISO 31000』『風險熱圖』『風險治理』. For 師大／政大／陽交 EMBA risk-management/governance/audit cases. Complements Asgard `algo-risk-*` (Altman Z, Benford, credit, VaR) with the framework/governance layer. 獨董挑選/董事會組成/IPO 治理: use `biz-corporate-governance`.

metadata.category

WP-09 商學院—管理

metadata.tags

erm, risk-management, coso, iso-31000, three-lines-of-defense, risk-appetite, risk-heatmap, governance, emba

metadata.audience

台灣 EMBA 在職學員、董事／獨董、財務長、稽核長、風險長、合規主管

IRON LAW 1：ERM 不是風險清單，是決策品質
ERM 的終極目的不是列出 500 條風險 tracking，
而是讓每個重大決策都「在可承受範圍內追求適當報酬」。
沒連結到策略與決策的 ERM = 高級稽核，不是 ERM。

IRON LAW 2：風險胃納（Risk Appetite）是董事會的事
「公司願意承擔多少風險以追求報酬」必須由董事會定義。
管理層只能在胃納範圍內決策。
沒有明文胃納書的 ERM = 盲人開車，風險文化無從建立。

IRON LAW 3：三道防線各司其職、互不取代
第一道（業務單位）擁有並管理風險；
第二道（風險／合規）監督方法、協調政策；
第三道（內部稽核）獨立驗證前兩道有效性。
最常見的失敗：第二道取代第一道（風險部變成風險保母）
      或 第三道與第二道合署（失去獨立性）。

┌─────────────────────────────────────────────┐
│ 要素 5：資訊、溝通與報告                      │
│   Risk Information Governance                │
├─────────────────────────────────────────────┤
│ 要素 4：檢視與修訂                            │
│   Review and Revision                        │
├─────────────────────────────────────────────┤
│ 要素 3：績效（核心）                          │
│   Performance — 風險辨識、評估、選擇回應      │
├─────────────────────────────────────────────┤
│ 要素 2：策略與目標設定                        │
│   Strategy & Objective-Setting               │
├─────────────────────────────────────────────┤
│ 要素 1：治理與文化                            │
│   Governance & Culture                       │
└─────────────────────────────────────────────┘

┌───────────────────────────────────────────────┐
│ 治理機構（董事會 / 審計委員會 / 風險委員會）    │
│    監督、課責、最終風險責任                    │
└───────────────────────────────────────────────┘
               ↑ 報告        ↑ 報告          ↑ 報告
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ 第一道防線    │ │ 第二道防線    │ │ 第三道防線    │
│ 業務／營運    │ │ 風險／合規    │ │ 內部稽核      │
│              │ │ 財務控管      │ │              │
│ 擁有與管理   │ │ 提供方法論   │ │ 獨立驗證     │
│ 日常風險     │ │ 監督與挑戰   │ │ 有效性       │
└──────────────┘ └──────────────┘ └──────────────┘

Risk Appetite 風險胃納（策略層）
    ↓ 具體化
Risk Tolerance 風險容忍度（績效層）
    ↓ 量化
Risk Limits 風險限額（營運層）

衝擊 ↑
     │ 黃 │ 橙 │ 紅 │ 紅 │
     │ 黃 │ 橙 │ 橙 │ 紅 │
     │ 綠 │ 黃 │ 橙 │ 橙 │
     │ 綠 │ 綠 │ 黃 │ 黃 │
     │ 綠 │ 綠 │ 綠 │ 黃 │
     └───────────────────→ 可能性

              風險透明度
                ↑
       高透明度 │ 高透明度
       低當責   │ 高當責
    ─────────────┼──────────→ 風險當責度
       低透明度 │ 低透明度
       低當責   │ 高當責
                ↓

Step 1：現況盤點（1–2 個月）
  - 治理結構（委員會、CRO）
  - 現有風險管理活動
  - 三道防線清點
  - 已知重大風險

Step 2：風險胃納設計（2–3 個月）
  - 董事會工作坊
  - 策略對齊
  - 量化 KRI 門檻
  - 胃納書正式通過

Step 3：風險辨識與熱圖（3–6 個月）
  - 跨部門工作坊
  - 風險分類與評估
  - 熱圖繪製
  - 前 10–15 條主要風險優先處理

Step 4：風險回應與 KRI（6–9 個月）
  - 每條主要風險的 ARTA 選擇
  - KRI 設計與監測機制
  - 報告模板

Step 5：整合與治理（9–12 個月）
  - 納入策略規劃流程
  - 納入績效考核
  - 董事會定期檢視節奏
  - 文化活動（訓練、溝通）

Step 6：持續改進（12 個月以後）
  - 年度胃納書檢視
  - 季度風險報告
  - 三道防線協作會議
  - ERM 成熟度評估（每 2–3 年）

# ERM 診斷與導入建議：{公司名稱／個案}

## 一、現況盤點
- 治理結構（董事會、委員會、CRO）
- 三道防線現況
- 已知重大風險
- 與 COSO 2017 原則對照

## 二、核心缺口診斷
- 治理層缺口
- 胃納層缺口
- 流程層缺口
- 文化層缺口

## 三、風險胃納建議
- 策略胃納
- 財務胃納
- 營運胃納
- 合規／聲譽胃納
- 關鍵量化門檻

## 四、風險熱圖
- 辨識前 10–15 條主要風險
- 分類、評估、熱圖定位
- 風險回應選擇

## 五、KRI 架構
- 依分類設計 15–25 個 KRI
- 門檻、資料源、回應機制
- 自動化與儀表板

## 六、三道防線重建
- 各道責任與權限
- 協作機制
- 獨立性保障

## 七、文化與組織
- CRO 角色與彙報線
- 風險委員會組成
- 訓練與溝通

## 八、路線圖（12–18 個月）

## 九、風險與限制
- 資源配置限制
- 文化阻力
- 法遵框架變動

© asgard-ai-platform, MIT. Rendered from Markdown: HTML in the file is shown as text, images as links, and headings moved down two levels. Raw file

Files

SKILL.md and 6 other files (references) in biz-erm of asgard-ai-platform/skills.

• SKILL.md
• examples/listed-manufacturer-erm.md
• references/coso-erm-2017.md
• references/emba-risk-courses.md
• references/risk-appetite-template.md
• references/three-lines-model.md
• references/tw-governance-regulation.md

Open the folder on GitHubat commit 4e7f4f8