公司治理守則

Corporate Governance Code（公司治理守則）是企業內部治理的最高原則文件，規定了董事會的權責、股東會運作、稽核委員會設置及風險管理機制等核心事項。其起源於1990年代英國Cadbury報告，隨後由OECD發布全球性原則，並由各國監管機關（如台灣金管會）在地化制定。在風險管理領域，它要求企業建立風險管理委員會或指定專人負責，確保風險識別、評估、應對與監控的完整性。與ISO 31000相比，Code提供治理框架，ISO 31000提供風險管理操作方法論，兩者相輔相成。根據OECD原則IV.D，企業應建立風險管理與內部控制系統，確保風險管理活動與企業策略目標一致，這是ERM成功的制度前提。

實務應用通常分為三個階段：第一階段為「治理架構建立」，企業需依Code要求設置風險管理委員會，並明確定義風險管理委員會的職權範圍；第二階段為「風險管理流程嵌入」，將ISO 31000的風險識別、評估、處理流程嵌入日常營運決策，而非僅停留在文件層面；第三階段為「監控與持續改善」，透過內部稽核機制定期檢核風險管理執行成效。以台灣某大型製造業為例，導入Code後透過建立KRI（關鍵風險指標）監控系統，將營運風險事件率降低25%，同時將資訊揭露的透明度提升至國際投資人認可水準，有效降低融資成本。

台灣企業導入時常見三大挑戰：其一為「治理文化轉型困難」，許多家族企業習慣集中決策，對獨立董事的實質運作存在抗拒；其二為「風險管理人才不足」，特別是具備跨國法規與數位風險管理能力的複合型人才稀缺；其三為「資訊揭露成本過高」，特別是中小板上市公司在導入初期面臨人力與系統投資的壓力。克服策略應為：優先招募具備國際視野的獨立董事，建立風險管理委員會的獨立性；導入數位化風險管理工具（如GRC系統）以降低人力成本；並以階段性目標（如先符合台灣公司法第266條規定，再擴展至ISO 31000認證）逐步達成國際接軌目標。