命令

證券暨期貨市場各服務事業建立內部控制制度處理準則

本準則依證券交易法第十四條之一第二項、期貨交易法第九十七條之一第二項及證券投資信託及顧問法第九十三條規定訂定之。

各服務事業建立內部控制制度，應依本準則以及主管機關所定規定辦理。但其他法令另有規定者，從其規定。

本準則所稱各服務事業，包括證券交易所、證券櫃檯買賣中心、期貨交易所、證券集中保管事業、證券商、期貨業、證券金融事業、證券投資信託事業、經營接受客戶全權委託投資業務之證券投資顧問事業（以下簡稱證券投資顧問事業）、信用評等事業及其他經主管機關指定之證券或期貨市場服務事業。

各服務事業之內部控制制度係由服務事業經理人所設計，董事會通過，並由董事會、經理人及其他員工執行之管理過程，其目的在於促進服務事業之健全經營，以合理確保下列目標之達成：
一、營運之效果及效率。
二、報導具可靠性、及時性、透明性及符合相關規範。
三、相關法令規章之遵循。
前項第一款所稱營運之效果及效率目標，包括獲利、績效及保障資產安全等目標。
第一項第二款所稱之報導，包括各服務事業內部與外部財務報導及非財務報導。其中外部財務報導之目標，包括確保對外之財務報表係依照各服務事業財務報告編製規範及一般公認會計原則編製，交易經適當核准等目標。

各服務事業應以書面訂定內部控制制度，含內部稽核實施細則，並經董事會通過，如有董事表示異議且有紀錄或書面聲明者，服務事業應將異議意見連同經董事會通過之內部控制制度送各監察人；修正時，亦同。
各服務事業已設置獨立董事者，依前項規定將內部控制制度提報董事會討論時，應充分考量各獨立董事之意見，獨立董事如有反對意見或保留意見，應於董事會議事錄載明。
各服務事業已依證券交易法規定設置審計委員會者，訂定或修正內部控制制度，應經審計委員會全體成員二分之一以上同意，並提董事會決議。
前項如未經審計委員會全體成員二分之一以上同意者，得由全體董事三分之二以上同意行之，並應於董事會議事錄載明審計委員會之決議。
第三項所稱審計委員會全體成員及前項所稱全體董事，以實際在任者計算之。
各服務事業董事會應認知營運所面臨之風險，監督其營運結果，並對於確保建立及維持適當有效之內部控制制度負有最終之責任。

各服務事業之內部控制制度，應訂定明確之內部組織結構、呈報體系，及適當權限與責任，並載明經理人之設置、職稱、委任與解任、職權範圍及薪資報酬政策與制度等事項。
各服務事業應考量本事業及其子公司整體之營運活動，設計並確實執行其內部控制制度，且應隨時檢討，以因應事業內外在環境的變遷，俾確保該制度之設計及執行持續有效。
前項所稱子公司，應依各服務事業財務報告編製規範之規定認定之。

各服務事業之內部控制制度應包括下列組成要素：
一、控制環境：係各服務事業設計及執行內部控制制度之基礎。控制環境包括事業之誠信與道德價值、董事會及監察人治理監督責任、組織結構、權責分派、人力資源政策、績效衡量及獎懲等。董事會與經理人應建立內部行為準則，包括訂定董事行為準則、員工行為準則等事項。
二、風險評估：風險評估之先決條件為確立各項目標，並與各服務事業不同層級單位相連結，同時需考慮事業目標之適合性。管理階層應考量事業外部環境與商業模式改變之影響，以及可能發生之舞弊情事。其評估結果，可協助事業及時設計、修正及執行必要之控制作業。
三、控制作業：係指各服務事業依據風險評估結果，採用適當政策與程序之行動，將風險控制在可承受範圍之內。控制作業之執行應包括事業所有層級、業務流程內之各個階段、所有科技環境等範圍及對子公司之監督與管理。
四、資訊與溝通：係指各服務事業蒐集、產生及使用來自內部與外部之攸關、具品質之資訊，以支持內部控制其他組成要素之持續運作，並確保資訊在事業內部，及事業與外部之間皆能進行有效溝通。內部控制制度須具備產生規劃、執行、監督等所需資訊及提供資訊需求者適時取得資訊之機制。
五、監督作業：係指各服務事業進行持續性評估、個別評估或兩者併行，以確定內部控制制度之各組成要素是否已經存在及持續運作。持續性評估係指不同層級營運過程中之例行評估；個別評估係由內部稽核人員、監察人或董事會等其他人員進行評估。對於所發現之內部控制制度缺失，應向適當層級之管理階層、董事會及監察人溝通，並及時改善。
各服務事業於設計及執行，或自行評估，或會計師受託專案審查公司內部控制制度時，應綜合考量前項所列各組成要素，其判斷項目除主管機關所定者外，依實際需要得自行增列必要之項目。
第一項第一款之董事行為準則至少應包括董事發現本事業有受重大損害之虞時，應儘速妥適處理，立即通知審計委員會或審計委員會之獨立董事成員或監察人並提報董事會，且應督導所屬服務事業通報主管機關。

各服務事業之內部控制制度，除視事業之性質訂定各種營運循環類型之控制作業外，尚應視其需要包括對下列作業之控制：
一、印鑑使用之管理。
二、票據領用之管理。
三、預算之管理。
四、財產之管理。
五、背書保證之管理。
六、負債承諾及或有事項之管理。
七、職務授權及代理人制度之執行。
八、財務及非財務資訊之管理。
九、關係人交易之管理。
十、財務報表編製流程之管理，包括適用國際財務報導準則之管理、會計專業判斷程序、會計政策與估計變動之流程等。
十一、對子公司之監督與管理。
十二、法令遵循制度。
十三、金融檢查報告之管理。
十四、金融消費者保護之管理。但依金融消費者保護法第三條第二項排除適用之事業，不在此限。
十五、個人資料保護之管理。
十六、重大事件（如：重大違規、遭受重大損失之虞等）處理及通報機制之管理。
十七、檢舉制度。
股票公開發行或主管機關指定之各服務事業，除應包括前項作業之控制外，尚應包括董事會議事運作之管理及股務作業之管理。
各服務事業已依證券交易法規定設置審計委員會者，其內部控制制度，應包括審計委員會議事運作之管理。
股票已上市或在證券商營業處所買賣之事業，其內部控制制度，尚應包括對下列作業之控制：
一、薪資報酬委員會運作之管理。
二、防範內線交易之管理。
各服務事業屬洗錢防制法所稱之金融機構者，其內部控制制度應包含防制洗錢及打擊資恐機制及相關法令之遵循管理，包括辨識、衡量、監控洗錢及資恐風險之管理機制。
前項設有國內外分公司（或子公司）之服務事業應建立集團整體性防制洗錢及打擊資恐計畫，包括在符合國外分公司（或子公司）當地法令下，以防制洗錢及打擊資恐為目的之集團內資訊分享政策及程序。

各服務事業使用電腦化資訊系統處理者，其內部控制制度除資訊部門與使用者部門應明確劃分權責外，至少應包括下列控制作業：
一、資訊處理部門之功能及職責劃分。
二、系統開發及程式修改之控制。
三、編製系統文書之控制。
四、程式及資料之存取控制。
五、資料輸出入之控制。
六、資料處理之控制。
七、檔案及設備之安全控制。
八、硬體及系統軟體之購置、使用及維護之控制。
九、系統復原計畫制度及測試程序之控制。
十、資通安全檢查之控制。
十一、依規定向主管機關指定網站進行公開資訊申報者，其相關作業之控制。

各服務事業應實施內部稽核，其目的在於協助董事會及經理人檢查及覆核內部控制制度之缺失及衡量營運之效果及效率，並適時提供改進建議，以確保內部控制制度得以持續有效實施及作為檢討修正內部控制制度之依據。

各服務事業應設置隸屬於董事會之內部稽核單位，除主管機關另有規定外，應依其事業規模、業務情況、管理需要及其他有關法令之規定，配置適任及適當人數之專任內部稽核人員，並應設置職務代理人，其代理執行稽核業務應依本準則規定辦理。
各服務事業應設有內部稽核主管，綜理稽核業務，其應具備領導及有效督導稽核工作之能力。內部稽核主管之任免，應經董事會通過，已設置獨立董事者，獨立董事如有反對意見或保留意見，應於董事會議事錄載明。
各服務事業已依證券交易法規定設置審計委員會者，內部稽核主管之任免，應經審計委員會全體成員二分之一以上同意，並提董事會決議，並準用第五條第四項及第五項規定。
除證券商及期貨業另有規定外，各服務事業內部稽核主管之任免，應於董事會通過之日起五日內填報異動原因併董事會會議紀錄申報主管機關備查。
內部稽核單位之人事任用、免職、升遷、獎懲、輪調及考核等，應由稽核主管簽報，報經董事長核定後辦理。但涉及其他管理、營業單位人事者，應事先洽商人事單位轉報總經理同意後，再行簽報董事長核定。
第一項所稱適任之專任內部稽核人員應具備條件，由主管機關另定之。

各服務事業之內部稽核實施細則至少應包括下列項目：
一、內部稽核單位之目的、職權及責任。
二、對內部控制制度進行評估，以衡量現行政策、程序之有效性及遵循程度與其對各項營運活動之影響。
三、釐定稽核項目、時間、程序及方法。

各服務事業內部稽核單位應依風險評估結果擬訂年度稽核計畫，除主管機關另有規定外，應包括每月應稽核之項目，年度稽核計畫並應確實執行，據以評估服務事業之內部控制制度，並檢附工作底稿及相關資料等作成稽核報告。
各服務事業至少應將下列事項列為每年年度稽核計畫之稽核項目：
一、法令規章遵循事項。
二、取得或處分資產、從事衍生性金融商品交易、為他人背書保證之管理及關係人交易之管理等重大財務業務行為之控制作業。
三、對子公司之監督與管理。
四、財務報表編製流程之管理，包括適用國際財務報導準則之管理、會計專業判斷程序、會計政策與估計變動之流程等。
五、資通安全檢查。
依金融消費者保護法所定之金融服務業之每年年度稽核計畫，除應包括前項之稽核項目外，尚應包括對金融消費者保護之管理。
股票公開發行或主管機關指定之各服務事業之每年年度稽核計畫，除應包括前二項之稽核項目外，尚應包括董事會議事運作之管理。
股票已上市或在證券商營業處所買賣之各服務事業之每年年度稽核計畫，除應包括前三項之稽核項目外，尚應包括薪資報酬委員會運作之管理。
各服務事業已依證券交易法規定設置審計委員會者，其年度稽核計畫，尚應包括審計委員會議事運作之管理。
各服務事業屬洗錢防制法所稱之金融機構者，其年度稽核計畫應包括防制洗錢及打擊資恐及其相關法令遵循之管理。
各服務事業年度稽核計畫應經董事會通過；修正時，亦同。
各服務事業已設立獨立董事者，依前項規定將年度稽核計畫提報董事會討論時，應充分考量各獨立董事之意見，獨立董事如有反對意見或保留意見，應於董事會議事錄載明。
第一項之稽核報告、工作底稿及相關資料應至少保存五年。

各服務事業內部稽核人員應與受查單位就年度稽核項目查核結果充分溝通，對於評估所發現之內部控制制度缺失及異常事項，應據實揭露於稽核報告，並於該報告陳核後加以追蹤，至少按季作成追蹤報告並提報董事會至改善為止，以確定相關單位業已及時採取適當之改善措施。
各服務事業應就前項所發現之內部控制制度缺失、異常事項及改善情形，列為各部門績效考核之重要項目。
第一項內部控制制度缺失及異常事項改善情形，應包括主管機關或自律機構檢查所發現、內部稽核作業所發現、內部控制制度聲明書所列、自行評估及會計師專案審查所發現之各項缺失。

各服務事業應於稽核報告及追蹤報告陳核後，於稽核項目完成之次月底前交付各監察人查閱。
各服務事業內部稽核人員如發現重大違規情事或服務事業有受重大損失之虞等重大事件時，應立即作成報告陳核，並通知各監察人。如對前揭缺失事項所提改進建議不為管理階層採納，將肇致服務事業重大損失者，亦應作成報告陳核及通知各監察人，並通報主管機關。
各服務事業設有獨立董事者，於依前二項規定辦理時，應一併交付或通知獨立董事。
各服務事業於主管機關或國外分公司（或子公司）當地主管機關檢查結束或收到檢查報告後，總（母）公司之內部稽核單位應依重大性原則，即時通報董事及監察人，並提報最近一次董事會報告。報告事項應包括檢查溝通會議內容、主要檢查缺失、遭主管機關調降評等、主管機關要求採行之重大缺失改善方案或可能採行之處分措施。

各服務事業內部稽核人員應秉持超然獨立之精神，以客觀公正之立場，確實執行其職務，並盡專業上應有之注意，除定期向各監察人報告稽核業務外，稽核主管並應列席董事會報告。
內部稽核人員執行業務應本誠實信用原則，並不得有下列情事：
一、明知事業之營運活動、報導及相關法令規章遵循情況有直接損害受益人、客戶或利害關係人之情事，而予以隱飾或作不實、不當之揭露。
二、因職務上之廢弛，致損及事業、受益人、客戶或利害關係人之權益等情事。
三、逾越稽核職權範圍以外之行為或有其他不正當情事，意圖為自己或第三人之利益，違背其職務之行為或侵占公司資產。
四、對於以前曾服務之部門，於一年內進行稽核作業。但主管機關另有規定者，不在此限。
五、與自身有利害關係或利益衝突案件未予迴避。
六、未配合辦理主管機關指示查核事項或提供相關資料。
七、直接或間接提供、承諾、要求或收受不合理禮物、款待或其他任何形式之不正當利益。
八、其他違反法令或經主管機關規定不得為之行為。

各服務事業內部稽核人員應持續進修並參加主管機關認定機構所舉辦之內部稽核講習，以提昇稽核品質及能力。
前項內部稽核講習之內容，應包括各項專業課程、電腦稽核及法律常識等。
第一項進修時數之規定，由主管機關另定之。

各服務事業除證券商及期貨業另有規定外，應將內部稽核人員之姓名、年齡、學歷、經歷、服務年資及所受訓練等資料依主管機關規定格式及方式於每年一月底前申報主管機關或其指定機構備查。

證券商、期貨業、證券投資信託事業及證券投資顧問事業之年度稽核計畫及其執行情形、所見異常事項改善情形等均應分別送證券交易所、證券櫃檯買賣中心、證券集中保管事業、期貨交易所、證券商同業公會、期貨業商業同業公會或中華民國證券投資信託暨顧問商業同業公會備查；其格式內容、方式及申報時間，分別由證券交易所、證券櫃檯買賣中心、證券集中保管事業、期貨交易所、證券商同業公會、期貨業商業同業公會或中華民國證券投資信託暨顧問商業同業公會訂之。
證券金融事業、信用評等事業及其他主管機關指定之證券或期貨市場服務事業應於每會計年度終了前將次一年度之年度稽核計畫及每會計年度終了後二個月內將上一年度之年度稽核計畫執行情形依主管機關規定格式及方式申報主管機關備查；並應於每會計年度終了後五個月內，將上一年度內部稽核所見異常事項改善情形申報主管機關備查。
證券交易所、證券櫃檯買賣中心、證券集中保管事業及期貨交易所於每會計年度終了前將次一年度之年度稽核計畫及每季終了後二個月內將上一季內部稽核實際執行情形、所見異常事項及異常事項改善情形申報主管機關備查。

各服務事業自行評估內部控制制度之目的，在落實自我監督之機制、及時因應環境改變，以調整內部控制制度之設計，並提昇內部稽核部門的稽核品質及效率；其評估之範圍，應涵蓋服務事業各類內部控制制度之設計及執行。
各服務事業執行前項評估，應於內部控制制度訂定自行評估作業之程序及方法。
各服務事業應注意相關法令規章遵循事項並依風險評估結果，決定前項自行評估作業程序及方法，並至少包含下列項目：
一、確定應進行測試之控制作業。
二、確認應納入自行評估之營運單位。
三、評估各項控制作業設計之有效性。
四、評估各項控制作業執行之有效性。

各服務事業自行評估內部控制制度，除主管機關另有規定外，應先督促其內部各單位及子公司每年至少辦理自行評估一次，再由內部稽核單位覆核各單位之自行評估報告，併同稽核單位所發現之內部控制缺失及異常事項改善情形，以作為董事會及總經理評估事業整體內部控制制度有效性及出具內部控制制度聲明書之主要依據。
前項自行評估應作成工作底稿，併同自行評估報告及相關資料至少保存五年。

各服務事業自行評估內部控制制度之結果，以各服務事業之內部控制制度是否能合理確保下列事項，分為有效之內部控制制度或有重大缺失之內部控制制度：
一、董事會及總經理瞭解營運之效果及效率目標達成程度。
二、報導係屬可靠、及時、透明及符合相關規範。
三、已遵循相關法令規章。

各服務事業應每年自行評估內部控制制度設計及執行之有效性，並依主管機關規定格式作成內部控制制度聲明書，除各該事業之相關法令另有規定外，應於每會計年度終了後三個月內申報主管機關備查。
各服務事業已依證券交易法規定設置審計委員會者，前項內部控制制度設計及執行之有效性，應經審計委員會全體成員二分之一以上同意並準用第五條第四項及第五項規定。
第一項內部控制制度聲明書應先經董事會通過；修正時，亦同。
股票公開發行或主管機關指定之各服務事業，第一項內部控制制度聲明書應於主管機關指定網站辦理公告申報，免再將書面資料申報主管機關備查。
第一項之內部控制制度聲明書應依規定刊登於年報、股票公開發行說明書及公開說明書或投資說明書。

為加強電腦資訊系統之控制，證券交易所、證券櫃檯買賣中心、期貨交易所及證券集中保管事業應定期委託具公信力及查核能力之專業人員執行有關使用電腦資訊系統處理各項作業之專案稽核，並將稽核結果報主管機關備查。

會計師受各服務事業委託專案審查內部控制制度，準用公開發行公司建立內部控制制度處理準則第二十五條至第三十六條之規定辦理。
各服務事業屬洗錢防制法所稱之金融機構者，主管機關得請證券交易所、證券櫃檯買賣中心、期貨交易所或中華民國證券投資信託暨顧問商業同業公會等證券期貨相關機構辦理個人資料保護、防制洗錢及打擊資恐機制之專案查核，必要時得命令該事業委託會計師辦理之。

主管機關得視證券商、期貨業、證券金融事業、證券投資信託事業、證券投資顧問事業、信用評等事業及其他經主管機關指定之證券或期貨市場服務事業規模、業務性質及組織特性，命令設置隸屬於總經理之單位，負責法令遵循制度之規劃、管理及執行。
董事會應指派高階主管一人擔任公司法令遵循主管，綜理法令遵循事務，至少每半年向董事會及各監察人報告，如發現有重大違反法令或遭主管機關調降評等時，應即時通報董事及監察人，並就法令遵循事項，提報董事會，其報告內容至少應包括上述事件原因分析、可能影響及改善建議。
前項法令遵循主管名單，除證券商及期貨業另有規定外，應於董事會通過之日起五日內填報異動原因併董事會會議紀錄報主管機關備查。

負責法令遵循之單位應辦理下列事項：
一、建立清楚適當之法令傳達、諮詢、協調與溝通系統。
二、確認各項作業及管理規章均配合相關法規適時更新，使各項營運活動符合法令規定。
三、訂定法令遵循之評估內容與程序，並督導各單位定期自行評估執行情形。
四、對各單位人員施以適當合宜之法規訓練。
五、督導國內外分公司遵循其所在地國家之法令。
六、其他經主管機關規定應辦理之事項。
各服務事業設有國外分公司者，負責法令遵循之單位應督導國外分公司辦理下列事項：
一、蒐集當地金融法規資料、落實執行法令遵循自行評估作業、確保法令遵循主管適任性及法令遵循資源（含人員、配備及訓練）是否適足等事項，以確保遵守其所在地國家之法令。
二、建立法令遵循風險之自行評估及監控機制，對於其中業務規模大、複雜度或風險程度高者，並應委請當地外部獨立專家驗證其法令遵循風險自行評估及監控機制之有效性。
法令遵循自行評估作業，每年至少須辦理一次，其辦理結果應送法令遵循單位備查。各單位辦理自行評估作業，應由該單位主管指定專人辦理。
前項自行評估工作底稿及資料應至少保存五年。

各服務事業為促進健全經營，應建立檢舉制度，並指定具職權行使獨立性之單位負責檢舉案件之受理及調查。
各服務事業對檢舉人應為下列之保護：
一、檢舉人之身分資料應予保密，不得洩漏足以識別其身分之資訊。
二、不得因所檢舉案件而對檢舉人予以解僱、解任、降調、減薪、損害其依法令、契約或習慣上所應享有之權益，或其他不利處分。
檢舉案件之受理及調查過程，有利益衝突之人，應予迴避。
第一項檢舉制度，至少應包括下列事項，並報經董事會通過：
一、揭示任何人發現有犯罪、舞弊或違反法令之虞時，均得提出檢舉。
二、受理之檢舉案件類型。
三、設置並公布檢舉之管道。
四、調查與配合調查之流程、迴避規定及後續處理機制之標準作業程序。
五、檢舉人保護措施。
六、檢舉案件受理、調查過程、調查結果與相關文件製作之紀錄及保存。
七、檢舉案件之處理情形，應適度以書面或其他方式通知檢舉人。
被檢舉人為董事、監察人或職責相當於副總經理以上之管理階層者，調查報告應陳報至監察人或審計委員會複審。
各服務事業調查後發現為重大偶發事件或違法案件，應主動向相關機關通報或告發。
各服務事業應定期對所屬人員，辦理檢舉制度之宣導及教育訓練。

內部稽核單位應將法令遵循制度之執行情形，併入對業務及管理單位之查核辦理。

各服務事業對子公司之監督與管理準用公開發行公司建立內部控制制度處理準則第三十八條至第四十一條之規定辦理。
各服務事業之子公司如為本準則第三條所稱之服務事業，各服務事業對該子公司之監督與管理得不適用前項規定辦理。

各服務事業應於內部控制制度中訂定經理人及相關人員違反本準則或各服務事業所訂內部控制制度規定時之處罰。
各服務事業應隨時檢查內部稽核人員有無違反第十二條第一項有關適任與專任規定及第十七條第二項規定之情事，如有違反規定者，除法令另有規定外，各服務事業應於發現之日起一個月內調整其職務。
各服務事業於依第十九條規定申報內部稽核人員之基本資料時，應檢查內部稽核人員是否符合第十八條第一項規定，如違反該項規定，應於一個月內改善，若逾期未予改善，除法令另有規定外，各服務事業應立即調整其職務。

各服務事業之內部稽核主管有下列情形之一者，主管機關得視情節之輕重，予以糾正、命其限期改善或命令服務事業解除其內部稽核主管職務：
一、有事實證明有與客戶不當資金往來之行為。
二、濫用職權，有事實證明從事不正當之活動，或意圖為自己或第三人不法之利益，或圖謀損害事業之利益，而為違背其職務之行為，致生損害於事業第三人。
三、未經主管機關同意，對執行職務無關之人員洩漏、交付或公開金融檢查報告全部或其中任一部分內容。
四、因事業內部管理不善，發生重大舞弊案件，未通報主管機關。
五、對事業財務與業務之嚴重缺失，未於內部稽核報告揭露。
六、辦理內部稽核工作，出具不實內部稽核報告。
七、因事業配置之內部稽核人員顯有不足或不適任，未能發現財務及業務有嚴重缺失。
八、未配合主管機關指示事項辦理查核工作或提供相關資料。
九、其他有損害事業信譽或利益之行為者。

各服務事業有下列情事之一者，主管機關得令其限期改善，必要時並得命令各服務事業委託會計師專案審查各服務事業之內部控制制度，並取具審查報告報主管機關備查：
一、未訂書面內部控制制度。
二、未配置適任或適當人數之專任內部稽核人員。
三、未依期限申報或未確實執行年度稽核計畫。
四、未依期限申報年度稽核計畫實際執行情形。
五、未依期限申報稽核所見內部控制缺失及異常事項之改善情形。
六、未依規定自行評估內部控制制度，或未作成內部控制制度聲明書。
七、未依會計師出具之內部控制建議書改善內部控制缺失事項而情節重大。
八、外部財務報導不實或違反法令規章情節重大。
九、發生重大舞弊或有舞弊之嫌。
十、其他經主管機關認為有應專案審查之必要。

各服務事業應確保金融檢查報告之機密性，其負責人或職員除依法令或經主管機關同意者外，不得閱覽或對執行職務無關之人員洩漏、交付或公開與金融檢查報告全部或部分內容。

各服務事業因內部管理不善、內部控制欠佳、內部稽核制度及法令遵循制度未落實、對主管機關檢查意見覆查追蹤之缺失改善辦理情形或內部稽核單位對查核結果有隱匿未予揭露，而肇致重大弊端時，相關人員應負失職責任。內部稽核人員發現重大弊端或疏失，並使服務事業免於重大損失，應予獎勵。
各服務事業管理單位及營業單位發生重大缺失或弊端時，內部稽核單位應有懲處建議權，並應於內部稽核報告中充分揭露對重大缺失應負責之失職人員。

各服務事業已依證券交易法規定設置審計委員會者，本準則第五條第一項、第七條第一項第一款、第五款、第十六條第一項、第二項、第十七條第一項及第二十七條第二項對於監察人之規定，於審計委員會準用之。

各服務事業應訂定適當之風險管理政策與程序，建立獨立有效風險管理機制，以評估及監督整體風險承擔能力、已承受風險現況、決定風險因應策略及風險管理程序遵循情形。

各服務事業符合一定條件者，應指派副總經理以上或職責相當之人兼任資訊安全長，綜理資訊安全政策推動及資源調度事務；其一定條件，由主管機關定之。
各服務事業應配置適當人力資源及設備，進行資訊安全制度之規劃、監控及執行資訊安全管理作業。主管機關得視服務事業規模、業務性質及組織特性，命令設置資訊安全專責單位、主管及人員。
各服務事業每年應將前一年度資訊安全整體執行情形，由資訊安全長或負責資訊安全之最高主管與董事長、總經理、稽核主管聯名出具第二十四條規定之內部控制制度聲明書，於會計年度終了後三個月內提報董事會通過。
各服務事業負責資訊安全之主管及人員，每年應至少接受十五小時以上資訊安全專業課程訓練或職能訓練。其他使用資訊系統之從業人員，每年應至少接受三小時以上資訊安全宣導課程。
證券商業同業公會、期貨業商業同業公會及中華民國證券投資信託暨顧問商業同業公會應訂定並定期檢討資訊安全自律規範。

各服務事業得依公司業務情況及管理需要，配置適任及適當人數之公司治理人員，並得指定公司治理主管一名，為負責公司治理相關事務之最高主管。但主管機關應視服務事業規模、業務性質及其他必要情況，要求其設置公司治理主管。
前項公司治理相關事務，至少應包括下列內容：
一、依法辦理董事會及股東會之會議相關事宜。
二、製作董事會及股東會議事錄。
三、協助董事、監察人就任及進修。
四、提供董事、監察人執行業務所需之資料。
五、協助董事、監察人遵循法令。
六、其他依公司章程或契約所訂定之事項等。
第一項公司治理主管應為公司經理人。除法令另有規定外，應依下列規定辦理：
一、公司治理主管應取得律師、會計師執業資格或於證券、金融、期貨相關機構或公開發行公司擔任法務、法令遵循、內部稽核、財務、股務或公司治理相關事務單位之主管職務達三年以上。
二、公司治理主管除初任者應自擔任此職務之日起一年內至少進修十八小時外，每年應至少進修十二小時，其進修課程至少應包括公司治理主題相關之商務、法務、財務、會計、企業社會責任、風險管理、內部控制等相關課程，進修機構及辦理方式參照證券交易所及證券櫃檯買賣中心共同訂定之上市上櫃公司董事、監察人進修推行要點有關進修體系之相關規定辦理。
公司治理主管除法令另有規定外，得由公司其他職位人員兼任。公司治理主管由其他職位人員兼任者，應確保其本職及兼任職務之有效執行，且不得涉有利益衝突及違反內部控制制度情事。
依第一項但書規定設置之公司治理主管辭職或解任者，應自事實發生之日起一個月內補行委任。

本準則規定格式，由主管機關另定之。

各服務事業如屬外國事業在中華民國境內分支機構者，本準則規定應由董事會或監察人處理之事項，得由該外國事業董事會授權之在中華民國境內分支機構負責人處理。

本準則自發布日施行。
中華民國一百年十二月二十一日修正條文，除第八條第一項第十四款及第十四條第三項修正條文自一百年十二月三十日施行外，自發布日起三個月後施行。
中華民國一百零三年九月二十二日修正發布條文，自一百零四年一月一日施行。
中華民國一百零七年五月三十日修正之第二十八條之一，自發布後六個月施行。