前言：企業的制度，其實反映了它怎麼做生意

每一家企業，都有一套屬於自己的經營樣貌。

賣什麼？賣給誰？哪些事情自己做、哪些交給外部合作夥伴？企業要做到多大、走到多遠？最後，客戶為什麼選擇你，而不是競爭者？

這些選擇未必會被寫成一句漂亮的標語，卻會持續反映在企業每天的資源配置、組織分工與營運決策之中。

在司徒達賢的策略管理架構中，可以透過「策略形態」來描述一家企業的事業策略樣貌，其核心包括六個構面：產品線廣度與特色、目標市場區隔與選擇、垂直整合程度、相對規模與規模經濟、地理涵蓋範圍，以及競爭優勢。〔2〕〔3〕

策略形態的觀點提供了一套理解企業經營樣貌的架構；另一方面，許士軍則提醒，企業管理若過度依賴標準化制度與既有規則，在環境快速變化時，可能反而限制組織回應變化與創新的能力。〔1〕

將兩者放在企業治理的實務情境中觀察，可以進一步得到一個值得討論的問題：

當企業的策略形態不同，內部的治理機制是否也應該有所不同？

即戰力認為，答案是肯定的。

品質管理、資訊安全、風險管理、永續治理等制度，除了回應法規、標準與利害關係人的要求之外，也應反映企業實際的產品、市場、價值活動、規模與競爭方式。

換句話說，治理機制可以被理解為企業將部分策略選擇與風險判斷，轉換成組織內部可以執行、監督與持續改善的具體安排。

因此，同樣導入一套管理標準，不同企業所建立出來的制度，也不應該完全相同。

 

即戰力觀點：先看企業怎麼做生意，再談制度怎麼設計

司徒達賢提出的六個策略形態構面，可以進一步轉換成六個很直觀的經營問題。

一、產品線廣度與特色：我們賣什麼？

企業提供多少種類的產品或服務？產品之間的差異程度有多高？更重要的是，企業選擇的是高度標準化、追求效率與成本優勢的模式，還是高度客製化、強調專業與差異化的模式？兩種模式對流程控制、品質管理與人員授權的要求，往往完全不同。

二、目標市場區隔與選擇：我們賣給誰？

企業服務的是一般消費者、高資產客戶、企業客戶，還是特定利基市場？客群不同，代表風險、服務模式、資料處理方式與法令要求也可能不同。因此，市場選擇不只是行銷議題，也會直接影響後端治理制度的設計。

三、垂直整合程度：哪些事情自己做？

從研發、採購、生產，到通路、銷售與售後服務，企業究竟掌握多少價值活動？如果大量活動委由外部供應商處理，治理重點自然會從「自己怎麼做」，延伸到「如何選擇、監督與管理第三方」。近年雲端服務、SaaS、AI API 與委外營運大量增加，這個構面對資訊安全與風險管理尤其重要。

四、相對規模與規模經濟：我們做到多大？

大型企業通常面臨跨部門協作、權責分工與一致性控制的問題；小型企業則可能更重視彈性、決策速度與有限資源的有效運用。因此，同樣一套管理制度，在不同規模的組織中，不應該長得完全一樣。

五、地理涵蓋範圍：我們做到多廣？

企業只服務單一地區、全國市場，還是跨國經營？一旦跨越不同區域，資料跨境、供應鏈、法規差異、文化差異與營運持續性，都可能成為新的治理課題。

六、競爭優勢：客戶為什麼選擇我們？

企業究竟靠什麼取勝？價格、速度、品牌、技術、信任、服務體驗，還是特定領域的專業能力？這個問題尤其重要，因為治理制度除了「避免出事」，還應該保護企業真正的競爭優勢。

一家以快速創新聞名的公司，如果制度設計讓每一個決策都經過漫長審批，治理反而可能傷害策略；相反地，一家以安全與信任為核心價值的金融機構，如果為了追求速度而放鬆必要控制，同樣可能破壞自身的競爭基礎。

因此，六個構面真正重要的，是彼此之間能不能形成合理的配適（Fit）。〔3〕

 

策略形態、治理機制與稽核合規：差異在哪裡？

在企業實務中，這三件事情經常被混在一起，但其實它們處理的是不同層次的問題。

策略形態處理的是：「我們決定成為一家什麼樣的企業？」它反映經營團隊對產品、市場、規模、價值活動與競爭方式的長期選擇。

治理機制處理的是：「為了讓這套經營模式能夠穩定運作，我們需要建立哪些規則？」品質管理、資訊安全、風險管理、供應商管理、內部控制等制度，都屬於這個層次。

稽核與合規處理的則是：「我們訂下來的規則，有沒有真的被執行？是否符合既定要求，並達成預期目的？」

策略決定方向，治理建立做法，稽核確認做法是否有效落實。

這三個層次彼此相關，但不能互相取代。

許士軍對制度化管理的提醒，也可以幫助我們理解其中的差異：SOP、規章與標準化制度擅長處理既定作業的一致性與效率，但當外部環境或經營方向發生改變時，組織仍需要回到策略層次，重新判斷「應該做什麼」。持續把既有流程「做得更好」，處理的是另一個層次的問題〔1〕。

因此，治理機制與稽核合規固然重要，但兩者都不能取代策略判斷本身。

一家企業完全可能「稽核都通過」，卻不代表它的治理設計仍然符合現在的經營策略。因為稽核首先確認的是既有制度與要求是否被遵循與有效運作；但更前面的問題應該是：這套制度，現在還是不是企業真正需要的制度？

 

從策略形態到治理機制：實務可以怎麼做？

如果要把經營樣貌真正轉換成管理制度，我們通常建議分成三個步驟。以下用兩家假設性的金融機構說明。

甲機構是一家大型綜合型銀行，產品涵蓋存款、放款、信用卡與財富管理，客群包括一般消費者與企業客戶。乙機構則是一家聚焦特定利基市場的數位金融機構，產品相對集中，核心系統大量使用雲端與外部科技服務，主要服務特定客群。

兩者都是金融機構，也可能面對相似的監理要求，但治理重點不會完全一樣。

第一步：盤點策略形態

先回答六個問題。甲機構產品線廣、服務客群多元、規模大，擁有自己的核心系統與實體服務網絡，主要經營國內市場，競爭優勢來自完整的金融服務能力、服務網絡與客戶信任。

乙機構產品線相對集中、鎖定特定市場，部分關鍵系統高度依賴雲端與外部科技服務商，組織規模較小，競爭優勢來自速度、便利性與數位體驗。

光是完成這一步，兩家企業的風險輪廓其實就已經不同。

第二步：把策略形態轉換成治理重點

接下來才開始問：這樣的經營方式，需要什麼樣的管理制度？

對甲機構而言，治理重點可能包括多元產品線的一致性管理、龐大分支機構的權限與作業控制、跨部門資訊安全管理，以及不同業務流程之間的風險整合。

對乙機構而言，治理重點則可能更集中在雲端服務商與科技供應商管理、第三方風險、API 與資料交換安全，以及特定客群個人資料的保護。

兩家公司可能都導入 ISO 27001、風險管理制度或內部控制制度，但標準可以相同，治理設計不應該完全相同。這也是為什麼單純套用一套制度範本，往往無法真正解決企業的管理問題。

第三步：當策略改變，重新校準治理機制

治理制度最容易被忽略的一件事，就是企業已經變了，制度卻還停留在過去。

例如，原本以實體通路為主的甲機構開始大幅發展數位金融服務，甚至導入生成式 AI；原本鎖定個人客群的乙機構，開始拓展企業金融市場。

這些都不只是「多了一項業務」。產品線、市場選擇、價值活動、供應鏈與風險結構，都可能已經發生改變。

此時真正需要重新思考的，除了新增一份程序書之外，更需要回頭檢視：原本的治理邊界、權責設計、風險評估方式與監督機制，是否仍然適用？

 

結語：好的治理，關鍵在於制度與經營方式是否匹配

經營策略與管理制度之間，沒有一套放諸四海皆準的公式。

產業不同、規模不同、客群不同、價值活動不同，企業真正需要管理的風險自然也不同。

因此，品質管理、資訊安全、風險管理或永續治理的價值，不應該只停留在「符合哪一條要求」或「通過哪一張證書」。更重要的問題應該是：這套制度，是否真的支撐了企業現在的經營方式？

如果從策略形態的角度重新看管理制度，就會發現，治理真正要做的事情，是把經營團隊的策略選擇與風險判斷，轉換成組織每天可以穩定執行的管理能力。

而當企業的經營樣貌改變，治理機制也必須跟著改變。

制度，是策略真正進入組織運作之後的具體承接。

 

參考資料

〔1〕許士軍，〈許士軍／為何領導是創新驅動力？〉，《哈佛商業評論》繁體中文版。查看原文

〔2〕司徒達賢，《策略管理新論：觀念架構與分析方法》，智勝文化，2016年三版；另參見〈競合中的競爭動態策略矩陣分析法〉，財團法人工業技術研究院產業情報研究所，查看原文

〔3〕司徒達賢，《策略管理講義》，國立政治大學企業管理學系，第二章：策略形態與競爭優勢，查看原文