每月之星｜蘇德樂先生：風險是一場對話，合規只是起點

本月，中國香港網絡安全協會（HKCNSA）很高興推選蘇德樂先生（Ben So）為本期「每月之星」。

蘇德樂先生擁有近三十年銀行科技與資訊保安經驗。從早期的基礎設施管理，到今日主導銀行科技風險管理，他見證了銀行業數碼化的每一次轉向，也親歷了科技風險職能由「後台支援」走向「企業策略核心」的過程。

多年來，他一直思考同一個問題：在科技發展不斷加快的環境下，企業應如何管理風險，同時保持創新與競爭力。

風險不只是計算，更是一場對話

回顧多年經驗，蘇先生直言，不少人把風險管理等同於計算機率、填寫風險登記冊。但他指出，最危險的風險往往不會出現在表格裡。「那些在會議室裡沒有人敢問的問題、被一再拖延的決策，才是風險真正累積的地方。」在他眼中，風險管理本質上是一場持續的對話，而不是一次性的計算。

他特別強調風險溝通的重要性。科技風險人員不能只懂報告「我們的平台有一個高危漏洞」，而是要將其翻譯成管理層聽得懂的業務後果：「如果這個漏洞被利用，我們將面臨監管問責、客戶資料外洩，以及需要數年才能修復的聲譽受損。」

從後台走向核心

蘇先生的職業生涯橫跨基礎設施管理、資訊安全及科技風險管理多個領域。他回憶，過去科技風險管理往往被視為支援職能，重點在於維持系統穩定和滿足監管要求。隨著數碼銀行、金融科技、開放銀行及人工智能等技術快速發展，科技已逐漸成為業務運作的核心。

他指出，今天的科技風險團隊已經不再只是監察控制措施是否落實，還需要參與業務策略討論，協助企業在創新與風險之間取得平衡，確保新技術安全落地。科技風險管理正逐步由傳統控制職能，發展成為企業決策過程中的重要顧問角色。

合規是下限，不是上限

「Compliance is the floor, not the ceiling.」

蘇先生用這句話總結他對合規的看法。他認為，許多機構將大量資源花在應付監管和審計，但若只求「過關」，真實的防禦能力並不會因此提升。「真正重要的是持續的營運韌性，以及應對未知的能力。」

未來的風險管理，在他看來將更著重持續監察、持續改善及適應能力。企業需要做的，是建立能應對未知挑戰的能力，而不單是符合監管要求。

這種思維同樣適用於新興科技。無論是人工智能、數據分析，還是未來更多新技術的應用，企業都需要在治理框架、風險評估及業務發展之間保持平衡，而不是等到問題出現後才補救。

新一代需要什麼？

談及人才發展，蘇先生的建議十分務實。他認為，年輕從業員應建立更全面的能力結構，不能只專注於考取證照或掌握某項特定技術。技術知識固然重要，但對業務運作的理解、與不同持份者溝通的能力，以及從風險角度思考問題的習慣，同樣不可或缺。

「先落手落腳做。」他建議有志投身科技風險及資訊安全領域的人士，先從基礎運作和技術工作累積經驗。他認為，只有在凌晨四點處理過系統故障、親自調查過保安事故，才能真正理解風險背後的成因。在快速變化的數碼環境中，持續學習已成為必要條件。

結語

蘇德樂先生的經驗反映出一個重要趨勢：科技風險管理已不再只是合規工作的一部分，而是企業建立韌性的重要基礎。

今天的科技風險專業人員需要理解技術，也需要了解業務、監管環境及組織運作。他們的角色，已逐步從控制風險轉向協助企業在風險可控的前提下實現創新與持續發展。

風險從來不是一條計算公式，而是一場持續的對話。合規，只是企業建立長遠韌性的起點。

HKCNSA 很高興推選蘇德樂先生為本期「每月之星」，並期待他未來繼續為科技風險管理、資訊安全治理及金融科技發展帶來更多專業洞見。