有過失之不作為防止犯罪

Culpable Failure to Prevent（有過失之不作為防止犯罪）源自美國判例法中的「負責公司主管原則」（Responsible Corporate Officer Doctrine），最早確立於1970年代的FDA相關訴訟。其核心邏輯是：當企業主管擁有防止犯罪的權限與義務，卻因重大過失未採取行動時，即使其主觀上並無犯罪意圖（mens rea），仍須承擔刑事責任。此概念在2024年美國SEC對企業治理的執法趨勢中愈發顯著。相較於傳統刑事責任需證明「積極參與」，此原則聚焦於「管理失職」。在ISO 31000:2018的風險管理框架下，這屬於「控制措施失效」的極端情境，要求企業建立從董事會到基層的風險預警與回應機制，確保風險識別與控制措施的有效性，而非僅停留在文件層面。台灣《公司法》第266條及《證券交易法》第282條亦有類似精神，要求董事及監察人對公司業務及處理事務盡善良管理人之注意義務，未盡義務者需負賠償及刑事責任。此原則對企業的意義在於：合規不再只是法務部門的事，而是每一層級主管的個人義務。

實務導入需採取系統性方法，建議分為三個階段：第一階段「風險識別與責任矩陣建立」，企業需依ISO 31000:2018要求，識別所有可能觸犯法規的業務場景（如：賄賂、資料外洩、環境污染），並明確指定每項風險的「負責主管」（Risk Owner）。第二階段「控制措施設計與驗證」，針對高風險場景設計強制性控制點（如：雙重授權、自動化交易審核），並定期進行有效性測試。第三階段「監控與持續改善」，建立異常事件即時通報機制。以2022年某跨國科技公司因未防止員工洩密遭SEC重罰的案例為例，其核心失敗在於「控制措施僅停留在文件層面」，未進行實務測試。導入此原則後，企業可量化效益：合規事件發生率預計降低40%，內部稽核發現率提升25%，主管個人法律風險暴露度降低60%。建議企業每年至少進行一次「模擬執法演練」，以驗證主管對潛在違法風險的識別與應對能力。

台灣企業導入此原則面臨三大挑戰：首先是「文化障礙」，許多企業主管習慣以「不知情」作為免責事由，但現代法庭已逐漸接受RCO邏輯，主管的「不知情」若源於管理疏失，將無法免責。其次是「法規複雜度」，台灣近年《洗錢防制法》、《個資法》及《貿易法》修正頻繁，企業難以即時掌握所有主管應負擔的邊界義務。第三是「資源分配不均」，中小型企業往往將合規視為成本中心而非風險管理投資。克服策略應為：第一，建立「風險責任地圖」，將法規義務轉化為可執行的操作控制項；第二，導入ISO 31000與COSO ERM框架，將風險管理嵌入日常營運流程；第三，透過數位化工具（如：GRI揭露平台、ISO 27701管理系統）實現風險監控自動化。建議企業在導入後180天內完成首輪風險評鑑，並將合規績效納入主管KPI考核，以確保管理層的實質參與度。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Culpable Failure to Prevent相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact