新加坡董事會AI攻略：公司董事而家要做足咩？

新加坡董事協會（SID）聯同資訊通信媒體發展局（IMDA）、Microsoft及OpenAI，於2026年7月31日發布一份116頁嘅《新加坡董事會AI指南》。指南旨在協助董事監督AI策略、價值創造、管治、韌性同風險管理。

最重要嘅轉變係：AI唔再只係一個技術部署項目，而係董事會層面嘅業務同管治議題。董事需要知道AI可以喺邊度創造價值，質疑管理層嘅假設，亦要確保AI落地之後有人負責、系統夠穩陣、風險有得管理。

第一條問題：AI究竟要改善邊個結果？

指南建議，董事會評估AI投資時，應先問清楚預期為公司帶來咩成果。合理嘅商業方案可以針對增加收入、提升生產力、改善服務質素及決策質素、減低風險，或者增強營運韌性。重點係：批核投資之前先定義成功標準，之後再核對實際有冇做到。

換句話講，董事會要分清楚「做咗幾多」同「帶來幾多價值」。推出咗幾多個試點、買咗幾多個軟件牌照、幾多員工接受過培訓，最多只代表公司有活動，唔代表AI計劃已經見到成效。管理層匯報時，應該一併交代實際成果、成本、限制同風險。

咁樣做可以避免兩個常見極端：一係批咗好多互不相干嘅實驗，卻冇清晰擴展路線；二係因為冇人定義成功係咩，結果連有用嘅應用都唔敢推行。指南希望將AI開支、用例選擇同回報，接返公司整體策略同優先次序。

員工私下試用AI，唔代表公司可以當睇唔到

員工可能已經自行使用AI工具，甚至建立咗一套工作流程。董事會較實際嘅做法，唔係假裝呢啲活動不存在，而係將有用嘅試驗納入正式管治，變成公司可以管理、複製同擴展嘅能力。

管理層應該掌握公司現時用緊邊啲工具、用喺咩工作、由邊個負責、處理咩資料，以及適用咩控制措施。指南亦提出，要記錄由AI建立嘅工具，為相關使用方式建立管治安排，並確保符合安全要求。

落到實務層面，公司需要有清晰規則，涵蓋獲准使用嘅工具、敏感資料、責任歸屬、監察機制同升級處理程序。同時，亦要識得發掘同培養員工本身已有嘅AI能力，而唔係將AI採用純粹當成由上而下強加落去嘅任務。

冇技能計劃、責任人、操作規範同日常紀律，AI往往只會停留喺試玩階段，難以穩定咁由實驗走到真正執行。

全個董事會都要有足夠AI常識，先有能力問到管理層啱問題

指南將AI素養視為董事會應有嘅能力。唔係每位董事都要變成機器學習工程師，但董事會整體至少要明白AI點樣影響行業、營運模式、競爭格局、決策流程同風險。

其中幾位董事應該有能力追問管理層嘅假設、價值預測同風險評估。董事會亦應該有至少一位具備足夠技術深度嘅人士——可以係董事、顧問或者委員會成員——去挑戰有關系統、資料、測試同控制措施嘅選擇。

呢個要求唔等於將AI問題交畀科技委員會，定期聽完簡報就算。AI應該納入董事會嘅策略同受信責任監督之內；至於超出董事會技術能力範圍嘅問題，則要適時尋求專業意見。

系統推出之前，先定好邊個有權批、邊個可以停

AI管治要真正落地，公司必須清楚界定：邊個可以批准系統、邊個負責操作、邊個負責監察，以及出現問題時邊個有權叫停。

董事會應該要求公司按風險設計決策界線，至少分清楚三類決定：

• 管理層可以喺既定限制內自行處理嘅決定；
• 必須交畀董事會或委員會升級審批嘅決定；
• AI絕對唔可以自行作出嘅決定。

後果越嚴重，控制措施就應該越嚴格。以招聘、升職、解僱及績效評估等高影響人事用途為例，董事會應該劃出清晰底線：必須有具實質意義嘅人手覆核，亦要有對最終決定負責嘅人。AI輸出唔可以未經檢查，就變成影響一個人工作生涯嘅自動判決。

更廣泛嘅原則係，AI應該協助人作判斷，而唔係喺無人察覺之下取代人嘅判斷。 系統上線前，公司至少要講得清楚：邊個係負責人、咩情況要升級、邊個位置要由人覆核，以及出事時點樣停用。

唔好只睇模型平均表現：要測試公平性、資料質素同申訴機制

一個AI系統平均表現唔錯，唔代表佢適合直接批准使用。董事會應該追問，公司有冇檢查資料質素、記錄系統限制、評估潛在偏見，以及喺正式部署後持續監察表現。

如果AI系統會對個人造成重大影響，受影響人士應該有真正可行嘅方法去理解結果、提出質疑，並要求由人重新考慮。解釋唔一定要公開商業機密或者所有技術細節，但至少要足以支持問責、覆核同申訴。

新加坡企業管治相關材料亦指出，AI決策需要具透明度同問責性，並要留意監管及道德標準。 董事會嘅責任，就係確保呢啲要求變成有文件、有負責人、有證據嘅流程，而唔係停留喺冇人跟進嘅口號。

AI同網絡韌性，根本係同一張風險清單

AI帶來嘅安全問題有兩面。公司要防範由AI加速嘅釣魚攻擊、社交工程、詐騙、自動化攻擊及更快速嘅漏洞發現；同時亦要保護AI系統本身，免受資料外洩、提示注入（prompt injection）、模型操控，以及供應商或第三方帶來嘅弱點影響。

因此，AI風險應該出現喺網絡韌性報告、保證工作同事故應變計劃入面，而唔係被隔離喺一個「科技專題」之內。董事會要問嘅包括：邊個可以停用系統？事故點樣上報？受影響嘅資料同決定點樣調查？如果AI服務中斷或者被入侵，公司點樣恢復運作？

呢個方向亦延續SID對網絡韌性嘅要求：韌性要嵌入企業策略，而唔係當成純粹技術工作。

關鍵服務同高後果系統，要用更高標準

唔同AI用例出錯時，後果可以相差好遠。低風險嘅內部生產力工具，唔需要同支援基本服務、關鍵基礎設施或其他高後果營運嘅系統，接受完全相同嘅監督程度。

對於後者，董事會應該要求更嚴格嘅韌性、安全、測試、監察、升級同復原安排。原因好直接：系統故障或被入侵，影響可能唔止係公司短期財務或者聲譽，亦可能干擾重要服務，造成更廣泛嘅營運後果。

指南採用以風險為本嘅做法，唔係所有AI應用一視同仁，而係按潛在失效後果，配對相應嘅權限同控制措施。

董事會可以即刻用嘅AI登記表

指南嘅建議可以整理成一份簡潔嘅董事會登記表或者儀表板。對每一個重要AI用例，管理層都應該能夠交代：

1. 負責人：對系統及其結果負責嘅人。
2. 預期業務成果：包括用咩方法衡量成功。
3. 決策權限：邊啲人可以決定，以及咩門檻要升級。
4. 資料來源及處理規則：系統用咩資料，資料點樣保存及使用。
5. 風險級別：點解將用例歸入呢個級別。
6. 控制措施：包括安全、公平性及資料質素檢查。
7. 人手監督位置：邊個環節要由人覆核，邊個對最後決定負責。
8. 測試及監察結果：包括已知限制。
9. 事故、投訴或申訴：發生過咩事，以及點樣處理。
10. 下次檢討日期：或者觸發重新評估嘅條件。

呢個格式將價值創造同風險管理放喺同一份紀錄入面，亦令董事可以查核具體證據，而唔係只聽公司講「我哋有負責任咁用AI」。

給公司董事嘅結論：AI採用同AI管治唔係二揀一

SID嘅指南唔係叫董事會喺推AI同管AI之間二揀一，而係要求公司用處理其他重大策略投資嘅紀律去處理AI：先定義價值，再分配責任；了解風險，測試控制；最後定期檢視結果。

對董事而言，最即時嘅行動係將AI列入固定董事會議程，盤點公司現時嘅重要AI用例，並找出AI素養、責任歸屬、決策權限、人手監督、測試及韌性方面嘅缺口。

最強嘅AI策略，唔係活動最多、試點最多嗰套，而係董事會可以清楚解釋、實際衡量，同埋真正管得到嗰套。