總經理在法律上要負什麼責任？

依公司法第 8 條第 2 項，公司之經理人在執行職務範圍內，亦為公司負責人；第 23 條要求公司負責人忠實執行業務並盡善良管理人之注意義務，違反致公司受損害者負賠償責任，違反法令致他人受損害時與公司負連帶賠償責任。個案是否成立，由法律顧問判斷。

總經理要簽哪些聲明？

公開發行公司的財務報告由董事長、經理人及會計主管簽名或蓋章（證券交易法第 14 條第 3 項）；內部控制制度聲明書由董事會及總經理出具，以自行評估為主要依據（內控處理準則第 22、24 條）；上市櫃公司依《上市上櫃公司誠信經營守則》第 8 條，應要求董事與高階管理階層出具遵循誠信經營政策之聲明。非公開發行公司不受這些規範，可自願參考。

董事長可以兼任總經理嗎？

《上市上櫃公司治理實務守則》第 23 條規定，董事長及總經理之職責應明確劃分，董事長與總經理或相當職務者不宜由同一人擔任。此守則供上市上櫃公司參照；非公開發行公司不受此規範。

預算有限，總經理要先做哪一項？

用同一張風險地圖排序：依風險類別歸類，以罰則上限、客戶要求與市場准入評估衝擊，對照風險胃納決定先後；能共用證據的先做骨架，例如以 ISO 27001 為骨架，讓 ISO 27701、22301、42001 共用管理系統。

哪些驗證能讓證交所 ESG 評鑑加分？

115、116 年度指標中，S-12 取得 ISO 27001、CNS 27001 等第三方驗證，總分另加一分；S-10 取得 TIPS、ISO 56001 或類似標準第三方驗證，總分另加一分；G-18 風險管理為 AA 題型，得分者總分另加一分。

員工侵害他人營業秘密，公司也會被罰嗎？

營業秘密法第 13 條之 4 規定，法人之代表人、受雇人因執行業務犯之，對法人亦科罰金；智慧財產局說明，此條處罰的是法人自身監督義務之違反，法人可提出已落實法遵制度主張但書免責。

公司個資違規，負責人個人會被罰嗎？

依個人資料保護法第 50 條，非公務機關受罰鍰處罰時，其代表人、管理人或其他有代表權人，除能證明已盡防止義務者外，應並受同一額度罰鍰之處罰。2025 年 11 月 11 日公布的部分修正條文，施行日由行政院定之。

有 ISO 證書，歐盟法規就算合規嗎？

不算。GDPR、NIS2、EU CRA 都沒有獨立證書：NIS2 要落實第 21 條措施與第 23 條通報；EU CRA 要依產品類別完成符合性評估並標示 CE；GDPR 要以 RoPA、DPIA、處理者契約、傳輸機制與通報紀錄自證。ISO 42001 驗證也不等於 EU AI Act 合規。

歐盟 NIS2 會管到總經理個人嗎？

若公司是 NIS2 的受規範實體，第 20 條要求管理機構核准並監督資安風險管理措施，並可就違反負責；第 32 條讓主管機關對必要實體，得請求暫時禁止執行長或法定代表人層級的自然人執行管理職務。只是受規範實體的供應商時，要求通常由合約承接。

總經理（CEO）要對哪些法規與標準負責？12 項要求逐項說明

直答：總經理在公司治理與法規上，是執行面的最終負責人。依公司法，經理人在執行職務範圍內也是公司負責人，應忠實執行業務並盡善良管理人之注意義務；公開發行公司的財務報告要由董事長、經理人及會計主管簽名，內部控制制度聲明書由董事會及總經理出具。營業秘密法與個人資料保護法對法人及其代表人也有罰則。有歐盟業務時，NIS2 要求受規範實體的管理機構核准並監督資安措施，EU CRA 與 EU AI Act 的罰則以全球年營業額計。資安、風險、個資、AI、營運持續、誠信與出口法規，最後都回到總經理要做的三個決定：哪些要求真的適用、先做哪一項、資源與人力給誰。要記住兩件事：GDPR、NIS2、EU CRA 都沒有獨立證書；ISO 證書也不等於法規合規。

公司治理裡的總經理：法律責任與要出具的聲明

適用對象	規範	原文重點	對總經理的意義
所有公司	公司法第 8 條第 2 項	公司之經理人在執行職務範圍內，亦為公司負責人	總經理在職務範圍內，負公司負責人的責任
所有公司	公司法第 23 條第 1、2 項	公司負責人應忠實執行業務並盡善良管理人之注意義務，違反致公司受有損害者負損害賠償責任；違反法令致他人受有損害時，對他人應與公司負連帶賠償之責	決策與監督的過程要有紀錄可以說明
所有公司	營業秘密法第 13 條之 4	法人之代表人、受雇人因執行業務犯營業秘密罪，對法人亦科罰金；法人已盡力防止者，可主張但書	「防止」要有制度與紀錄
所有非公務機關	個人資料保護法第 50 條	非公務機關受罰鍰處罰時，其代表人、管理人或其他有代表權人，除能證明已盡防止義務者外，應並受同一額度罰鍰	個資違規可能及於代表人個人
公開發行公司	證券交易法第 14 條第 3 項、第 20 條之 1	財務報告應經董事長、經理人及會計主管簽名或蓋章；簽名者除能證明已盡相當注意外，負賠償責任	總經理在財務報告上簽名，要能證明已盡相當注意
公開發行公司	公開發行公司建立內部控制制度處理準則第 9 條之 1、第 22、24 條	應配置適當人力資源及設備執行資訊安全；自行評估是董事會及總經理出具內部控制制度聲明書的主要依據	新制度的稽核結果，要能進到聲明書的依據
上市櫃公司	上市上櫃公司治理實務守則第 23 條	董事長及總經理之職責應明確劃分；董事長與總經理不宜由同一人擔任	治理與執行分開
上市櫃公司	上市上櫃公司風險管理實務守則第 7、13 條	治理單位與高階管理階層明確的風險管理聲明與承諾；董事會分配與指派充足且適當之資源	風險管理要有經營層承諾與資源
上市櫃公司	上市上櫃公司誠信經營守則第 8、22 條	董事與高階管理階層出具遵循誠信經營政策之聲明；董事長、總經理或高階管理階層應定期傳達誠信之重要性	總經理本人要聲明並傳達
上市櫃公司	上市上櫃公司資通安全管控指引第 4 條	資安政策由副總經理以上主管核定並定期檢視	資安政策的核定層級
歐盟 NIS2 受規範實體	NIS2 第 20 條、第 32 條第 5、6 項	管理機構核准並監督資安風險管理措施、可就違反負責、成員須受訓；必要實體的執行長或法定代表人層級，主管機關得請求暫時禁止其執行管理職務	有歐盟業務時，先判定公司是否為受規範實體
投放歐盟市場的數位產品製造商	EU CRA 第 13 條、第 64 條	依附件 I 的基本要求設計、開發與生產；違反基本要求最高 1,500 萬歐元或全球年營業額 2.5%	產品能不能進歐盟市場
歐盟 AI 系統的提供者與部署者	EU AI Act 第 99 條	違反禁止規定最高 3,500 萬歐元或全球年營業額 7%；違反其他義務最高 1,500 萬歐元或 3%	AI 的使用與銷售要先判定角色與風險等級

公開發行公司與上市櫃公司的規範，非公開發行公司不受此規範，可以自願參考。金融業另有規定，例如銀行與金融控股公司的資訊安全長與風險管理長，須由副總經理以上或職責相當之人擔任。個人資料保護法 2025 年 11 月 11 日公布的部分修正條文，施行日由行政院定之，施行前以現行條文為準。上述責任是否成立，由法律顧問依個案判斷。

證交所 ESG 評鑑：總經理要看的指標

ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。115 年度（第一屆）有三大構面 75 項指標，受評期間為 115 年 1 月 1 日至 12 月 31 日，結果於 116 年 4 月底前公布；116 年度指標已於 2026 年 10 月 30 日公布。下列指標除 S-7 外，115、116 年度文字相同。

指標	內容（摘要）	加分	對應服務
G-18	由審計委員會或董事會層級功能性委員會督導風險管理，訂定經董事會通過的政策與程序，揭露架構與運作，至少一年一次向董事會報告	AA 題型，得分者總分另加一分	ERM
S-7	經董事會通過的誠信經營政策、專（兼）職單位、具體執行情形，至少一年一次向董事會報告（116 年度文字；115 年度分為 S-7、S-8）	—	ISO 37001
S-9	在公司網站詳細揭露內、外部人員對不合法（包括貪汙）與不道德行為的檢舉制度	—	ISO 37001
S-10	與營運目標連結的智慧財產管理計畫及執行情形，至少一年一次向董事會報告	導入 TIPS、ISO 56001 或類似標準並經第三方驗證，總分另加一分	營業秘密保護、ISO 56001
S-12	資通安全風險管理架構、政策、具體管理方案及投入資源（以年報為評鑑依據）	導入 ISO 27001、CNS 27001 等並取得第三方驗證，總分另加一分	ISO 27001
S-13	制定並揭露個人資料保護政策及實施情形	—	ISO 27701、GDPR
S-15	供應商管理政策要求供應商在資通訊安全或隱私權保護等議題遵循規範	—	TISAX、NIS2

三項有加分：G-18 得分者、S-10 與 S-12 取得第三方驗證者。總經理排序投資時，加分是可以量化的效益之一。非公開發行公司不受評鑑，可自願參考指標內容。

12 項要求一覽

要求	對總經理的意義	有沒有證書
ERM（COSO ERM、ISO 31000）	對董事會交代風險、排定優先順序的骨架	沒有
ISO 37001	跨境行賄的法律曝險與客戶的誠信盡調	有，第三方驗證；不保證不發生賄賂
ISO 27001	客戶與投標最先要求的資安證書	有，第三方驗證
ISO 22301	對客戶承諾的恢復時間，要有 BIA 與演練撐著	有，第三方驗證
營業秘密保護與 ISO 56001	核心技術在法院站得住；ESG 評鑑 S-10 加分	營業秘密法沒有；ISO 56001 有
EU CRA	不符合的數位產品自 2027 年 12 月 11 日起不得投放歐盟市場	沒有獨立證書，依產品類別完成符合性評估並標示 CE
NIS2	受規範實體的管理機構責任；供應商由合約承接	沒有
EU AI Act 與 ISO 42001	AI 的法定義務與治理證明	ISO 42001 有；不等於 EU AI Act 合規
GDPR 與 ISO 27701	歐盟個資，罰則最高全球年營業額 4% 或 2,000 萬歐元	ISO 27701 有；GDPR 沒有官方證書
TISAX	車廠評估供應商據點的資訊安全	評估與交換機制，不是 ISO 證書；結果以標籤共享，效期 3 年
數位轉型	數位化不擴大攻擊面、不中斷核心業務	依服務頁，以 ISO 27001 資安要求為基準
AI 轉型	治理先行，AI 投資效益可追蹤	可同步建立 ISO 42001；認證不等於 EU AI Act 合規

逐項說明：總經理要決定什麼、先做哪一項、要多久

每一項服務各有一頁，依你的角色逐題回答。

怎麼接上你現有的制度

新要求要融進既有的內控、風險管理、誠信經營與資安制度，而不是另建一套。

既有制度與依據	你已經有的	新要求怎麼融進去
內控處理準則第 22、24 條	年度自評與內部控制制度聲明書	各管理系統的內部稽核結果，納入年度自評的依據；缺失放進原本的改善追蹤
風險管理實務守則第 13–15 條	董事會核定的政策、風險委員會、年度報告	資安、營運持續、AI、個資與歐盟法規的風險，收進同一張風險地圖、同一份報告
誠信經營守則第 17 條	專責單位、每年向董事會報告	ISO 37001 的風險評估、盡職調查與舉報紀錄，併入同一份報告
資通安全管控指引第 37 條	定期向董事會或管理階層的資安報告	ISO 27001 稽核結果與通報演練，放進同一份報告
年報準則第 18 條第六款	年報資通安全章節	投入資源、管理方案與驗證結果，用同一套數字揭露

上述規範適用於公開發行公司或上市櫃公司；非公開發行公司不受此規範，可以自願參考。各項做法見：ERM 制度輔導、ISO 37001、ISO 27001 導入輔導、ISO 22301、營業秘密保護制度輔導、歐盟法遵整合。

積穗科研的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

誰主導：副總、董事級顧問全程親自輔導、不外包，顧問團隊持有 ISO 主導稽核員資格
先判定適用：先確認客戶、投標、主管機關與出口市場的要求，判定哪些法規與標準真的適用，再界定範圍
一張路線圖：把各項要求整合為一張路線圖：先後順序、可共用的證據，以及每項投入對應的客戶與市場
交付給總經理的：一份可提交經營會議的決策依據：適用要求、優先順序與預算結構
分工：驗證由第三方驗證機構執行，我們陪同、不代審；內控聲明與財報相關事項由會計師，法律意見由合作律師
第一步：第一次機制診斷免費

合規要三者兼顧，顧問的價值在整合

CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。

面向	要回答的問題	只補這一塊時常見的缺口
流程（管理系統）	誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善	技術工具到位，但沒有人定期執行，稽核時拿不出紀錄
資安技術	控制措施怎麼設計、怎麼驗證有效	文件寫得完整，但系統實際上沒有做到
法遵	適用哪條法規、角色是什麼、期限與罰則為何	做了一套控制，卻對錯法規或角色，義務沒有涵蓋到

積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。

相關服務申請免費機制診斷