概念地圖・ALARP 風險容忍度三角
作者 山姆（謝冠生）・喵喵書評創辦人
發布
分類：管理
這一頁不只是把一個概念解釋一遍——一張自己畫的結構圖，加上拿台灣情境從頭走一次的實例演練、這個框架什麼時候會騙你，以及它接回 P.A.I.N. 之後長什麼樣。一頁必須交付的三層 →
ALARP 風險容忍度三角：這個風險，還要不要再降
工安月會的最後一頁簡報，「暫時可接受」那一欄掛著三項風險。最上面那一項的日期停在四個月前，四次月會過去，沒有人動過它。沒有人說它安全，也沒有人簽字說它不安全——它就一直掛在那裡，變成簡報的一部分。ALARP 三角要處理的正是這一格。它把風險由高到低橫切成三層：最上層再大的利益也換不來，最下層低到不必再多花一塊錢，中間那層叫 ALARP，意思是「已經降到合理可行的最低」——可以容忍，但要一直付出代價才留得住。
三層，三種完全不同的處理方式
同一項風險落在哪一層，決定的是接下來誰要花錢、花多少，以及這件事還能不能照原樣做下去。
| 這一層 | 在說什麼 | 該做的動作 | 最容易出的錯 |
|---|---|---|---|
| 不可容忍 | 風險高到再大的利益也換不來，跟賺多少無關 | 停下來改設計、改工法，或者不做 | 拿「到現在都沒出事」當成可以照做的理由 |
| ALARP 區 | 只有在已經降到合理可行的最低時，才可以容忍 | 每留下一格風險，都要說得出「再降下去不成比例」 | 把「暫時可接受」當成終點站，沒有日期也沒有複查 |
| 廣泛可接受 | 風險低到跟日常背景差不多，不必再額外投入 | 維持現狀，定期回頭複查一次 | 從此不再看它，直到現場條件變了才發現 |
三層裡真正吃力的只有中間那一層。上下兩層是判決：這件事不能照做、那件事可以放著。中間那一層是一份持續的舉證責任——你留著這個風險，就得一直說得出為什麼再降下去划不來。判決簽完就結束，舉證責任要一直背著，這是很多公司把清單填滿之後仍然管不住風險的地方。
四個判準，把這張圖代進你這一行
一、上界那條線，誰有權喊停。不可容忍區的意義在於它凌駕效益計算：講到這一層，工期、報價、客戶臉色都不再是可以拿出來秤的東西。但公司裡真的有人做得到喊停嗎？如果喊停的人自己要背延誤，那條線實際上不存在。自問：在我們這裡，有人說出「這個不能這樣做」之後，誰的行程會被改？
二、「合理可行」不等於「我們負擔得起」。ALARP 判的是成本與風險降幅之間是否明顯不成比例——多花這筆錢，換到的傷害減少太少，才叫不合理。預算今年剩多少，是另一件事。兩者被混在一起時，這個框架就只剩下一個好聽的名字。自問：上一次我們否決一項防護措施，理由是報價太高，還是報價與它擋掉的傷害明顯不成比例？
三、線的下面站著誰。核定「可容忍」的人與承接殘餘風險的人，通常不是同一批。前者在會議室裡看清單，後者明天早上要站在那個位置上工作。這張圖沒有欄位問這件事，所以它得由你自己補。自問：這一格風險留下來之後，實際承擔它的人知不知道它被留下來了，也知不知道為什麼？
四、ALARP 是一個會過期的狀態。它描述的是「此刻已經降到合理可行的最低」，而現場條件會變：換了包商、換了季節、換了機具，同一格就該重新判一次。沒有複查日期的 ALARP，過三個月看起來就跟「廣泛可接受」一模一樣。自問：清單上每一項「暫時可接受」，旁邊有沒有寫下複查日期與觸發重判的條件？
一支屋頂型太陽能施工隊，把手上的風險排一次
- 老鐵皮廠房那半面屋頂：女兒牆矮到膝蓋，屋面找不到夠力的錨錠點，安全母索掛不上去，師傅實際上是靠腳程在走。上層：沒有掛點就不上去，先做固定座
- 採光罩與老化浪板：中間三條塑膠採光板承重早就沒了，走上去跟走上一層紙一樣。上層：下方鋪設防墜網或踏板，不做就不進場
- 午後雷陣雨與陣風：夏天三點以後說變就變，模組是一片大帆。中層：設一條退場線，超過就收工，寫進當日工班群組
- 吊料與施工架：模組上屋頂那一段，人與料同時在動。中層：分時段、拉警戒線，成本可控
- 併聯期程壓在月底：甲方要趕當期躉購費率，工期被壓到剩一半。這一項根本沒被放上三角，它卻在偷偷把每一格往上推
- 地面端整線：線槽、標示、走線收尾。下層：照現行做法維持，季檢時複查
這支施工隊排完會發現一件事：六列裡最該盯的是第五列——工期。前四列都可以靠設備與流程往下降，工期卻是唯一會把已經降下去的風險整批推回上層的變數。母索掛好了，但要在三天內做完原本七天的量，師傅會自己選擇少扣一次。這也是為什麼「上界那條線是誰畫的」比「線畫在哪裡」更關鍵：把工期排進三角裡，這件事得由能跟甲方談期程的人動手，工地主任手上沒有那張牌。清單上排得再漂亮，只要那個變數不進圖，剩下的都是紙上的容忍度。以上為說明結構用的示意情境，僅供理解框架之用。
這張圖什麼時候會騙你
- 中間那一層很容易變成停車場。ALARP 的原意是一種需要持續舉證的暫時狀態，但在多數清單上，它只是一個沒有出口的欄位。一項風險貼進去之後，沒有複查日期、沒有觸發條件、沒有負責人，三個月後再打開，它跟「廣泛可接受」在版面上長得完全一樣。判斷方式很簡單：翻開你們的清單，看中間那層的項目上一次被修改是什麼時候。
- 「合理可行」會被悄悄翻譯成「我們付得起」。這個詞的判準是成本與風險降幅之間明顯不成比例，跟今年還剩多少預算無關。但實務上，做這個翻譯的往往是控成本的那一方，而且只需要一句「這個做不到啦」就完成了。要防它，唯一的辦法是要求把否決理由寫成一句可被反駁的話：多花多少、擋掉什麼、為什麼不划算。寫不出來，就代表判斷沒發生過。
- 三條界線看起來像物理事實，其實是談判留下來的位置。同一種作業在不同產業、不同保險條件、出過事與沒出過事的公司，界線會落在不同高度。這不代表它是任意的，但它確實是人畫的：一次重大事故之後，上界會往下移，昨天還在 ALARP 區的東西，今天就進了不可容忍。把它當成固定不動的標準，就會錯過「界線正在移動」這個訊號——而那個訊號通常比清單本身更早出現。
痛點視角：那條線畫完之後
線是人畫的。
ALARP 的重量全壓在「合理可行」四個字上，它做的事其實很赤裸：把一筆錢跟一種傷害擺上同一個天平，然後要有人簽字說「到這裡就好」。簽字的人坐在會議室，站在線下面的人明天早上在屋頂上。這張三角畫得出每一層的界線與該有的動作，畫不出畫線的人和承擔的人之間那段距離——誰吃下殘餘的那一格，圖上沒有欄位。這正是 P.A.I.N. 裡 P 那一格在問的：誰在痛。一份風險清單如果從頭到尾只有部門名稱、沒有人名，那它談的是責任分攤，不是風險。今晚就能做的小動作：把那份清單打開，在每一列後面補一欄「這格是誰核定的」，把名字填進去。填不出名字的那幾列，明天早上先處理它們。
常見問題
ALARP 跟「零風險」差在哪裡？
零風險是一個承諾，ALARP 是一個過程。三角的下層叫「廣泛可接受」而不叫「安全」，就是在承認殘餘風險一直都在，只是低到跟日常背景差不多。這個差別在對外溝通時特別要緊：宣稱零風險，一旦出事就等於自己承認說謊；說得出「我們把它降到什麼程度、還剩什麼、為什麼停在這裡」，反而站得住腳。願意講出殘餘風險的組織，通常也是真的在管它的組織。
「合理可行」到底怎麼判斷？
判準是「明顯不成比例」：多投入的成本，與它換到的風險降幅之間差距懸殊，才算不合理。實務上不必真的算出數字，但要說得出三件事——這筆錢是多少、它擋掉的是什麼樣的傷害、為什麼兩者差距大到不值得。愈接近上界，天平應該愈偏向安全那一側，也就是說，風險愈高，你要拿出的「不成比例」理由就要愈強。反過來說，靠近下層的項目，用一句「效益太小」帶過通常是合理的。
這跟風險矩陣是同一件事嗎？
兩張圖回答的不是同一個問題。風險矩陣用發生機率乘上衝擊程度，把一堆風險排出先後，回答的是「先處理哪一個」。ALARP 三角判的是分層：這一項落在哪一層、還要不要再花錢往下降、降到哪裡可以停手。同一格高機率高衝擊的風險，在矩陣上是紅色第一順位，在 ALARP 上可能直接落進不可容忍區，意思是它連排隊都不用，先停下來改做法。實務上兩張一起用最順：矩陣排順序，三角定停損點。
小公司沒有工安部門，也用得上嗎？
用得上，而且成本很低。不需要評分表，只要在每週的工作清單旁邊多開一欄，把手上會傷到人的事分成三堆：不能這樣做的、可以做但要加條件的、照現行做法就好的。第一堆當天就要有動作，第二堆寫下條件與複查日期，第三堆放著。十個人的公司花二十分鐘就排得完，難的從來不是分類，是第一堆出現時，願不願意真的停下來。
那條線，今天畫在哪裡？把清單上每一項先標到層，再用風險矩陣把同一層裡的先後排出來，兩張圖的分工就會很清楚：一張決定順序，一張決定還要不要再花錢往下降。真的出事那天要追的則是另一個問題——防護一層一層被穿過去的路徑長什麼樣，那是瑞士乳酪模型接手的地方。
喜歡這篇文章嗎？
每週幫你拆二本好書，把判斷力、好書金句、好問題，直送你的信箱。
不適合你可隨時退訂 · 每週兩封，陪你把書讀進生活。
送出即表示同意我們依隱私權政策使用你的 email。