總經理導入 ERM：董事會、內控聲明與個人責任要先釐清什麼？

總經理在 ERM 裡要扮演什麼角色？和董事會、風險管理委員會怎麼分工？

依《上市上櫃公司風險管理實務守則》，分工如下：

《上市上櫃公司治理實務守則》第 23 條也要求董事長及總經理的職責明確劃分，且不宜由同一人擔任。總經理的實際工作，是指派推動單位、要求各單位用同一方法評估風險，並把結果帶進經營決策。非公開發行公司不受這兩項守則規範，可自願參考。

公司發生重大損失時，總經理要怎麼說明自己已盡注意義務？

先看判斷框架：

• 公司法第 8 條第 2 項：公司之經理人在執行職務範圍內，亦為公司負責人。
• 公司法第 23 條：公司負責人應忠實執行業務並盡善良管理人之注意義務，違反致公司受有損害者，負損害賠償責任；違反法令致他人受有損害時，對他人應與公司負連帶賠償之責。
• 證券交易法第 20 條之 1（公開發行公司）：曾在財務報告上簽名或蓋章者負賠償責任，能證明已盡相當注意，且有正當理由可合理確信內容無虛偽或隱匿者除外。

ERM 能留下的是過程紀錄：董事會核准的政策、風險登錄表、KRI 與每次報告，說明公司何時知道哪些風險、怎麼評估、做了什麼決定。這些紀錄是否足以證明已盡注意，由法律顧問依個案判斷，本頁不代為下結論。

總經理要和董事會一起出具內部控制制度聲明書，ERM 和內控是什麼關係？

依《公開發行公司建立內部控制制度處理準則》，自行評估是董事會及總經理出具內部控制制度聲明書的主要依據；聲明書經董事會通過，於會計年度終了後三個月內公告申報（第 22、24 條）。

服務頁的區分是：內控管控制活動的有效性；ERM 管策略層的風險與機會，兩者互補。實務上可以這樣接：

• 資安、營運持續、反賄賂等管理系統的內部稽核結果，納入年度自評的依據
• ERM 風險登錄表新增的風險，回頭檢查內控各循環有沒有對應的控制點
• 缺失放進原本的改善追蹤，不另開一套

內控聲明與財報相關事項由簽證會計師判斷。此準則適用於公開發行公司；非公開發行公司不受此規範，可自願參考。

預算有限，資安、個資、AI、營運持續與反賄賂同時來，總經理要先做哪一項？

用同一張風險地圖排序，而不是各部門各自爭預算：

1. 歸類：依守則第 18 條，把每一項要求放進策略、營運、財務、資訊、法遵、誠信或其他新興風險。
2. 評估衝擊：罰則上限是衝擊的參考，例如 GDPR 最高全球年營業額 4% 或 2,000 萬歐元、EU CRA 違反基本要求最高 1,500 萬歐元或 2.5%；客戶要求、市場准入與商譽損失，通常比罰則更早發生，要一起評估。
3. 對照風險胃納：由風險管理委員會核定的胃納決定哪些先處理；董事會依第 13 條分配資源。
4. 先建可共用的骨架：例如以 ISO 27001 為骨架，ISO 27701、22301、42001 共用管理系統，後續時程可縮短。

這樣排出來的優先順序，能直接放進給董事會的報告。

要不要設風控長？風險管理推動單位該放在誰底下？

• 守則沒有風控長職稱：《上市上櫃公司風險管理實務守則》第 12 條要求「應指定或設置適當的風險管理推動與執行單位」；風險管理委員會也可以由其他功能性委員會或工作小組替代（第 11 條）。
• 銀行與金融控股公司不同：依《金融控股公司及銀行業內部控制及稽核制度實施辦法》第 21 條，設置隸屬於總經理的風險管理專責單位，並指派副總經理以上或職責相當之人擔任風險管理長。
• 小型公司：服務頁建議，尚未公開發行、單一業務且風險集中在少數項目的小型公司，先用 ISO 31000 流程做一張風險登錄表與季度檢視即可，不必建立委員會。

是否設專責主管，取決於公司規模、產業與董事會要求；非公開發行公司不受該守則規範，可自願參考。

對 ESG 評鑑與股東要怎麼交代？多久能第一次向董事會報告？

• ESG 評鑑 G-18（115、116 年度文字相同，AA 題型）：由審計委員會或董事會層級的功能性委員會督導風險管理，訂定經董事會通過的風險管理政策與程序，揭露組織架構、程序及運作情形，且至少一年一次向董事會報告；符合得分要件者，總分另加一分。評鑑對象是上市櫃公司，非公開發行公司不受評鑑。
• 對外揭露：守則第 28 條要求於公司網站或公開資訊觀測站揭露風險管理政策、組織與運作情形。
• 時程（服務頁所列）：四階段通常 4–6 個月，依序為診斷與治理設計、政策胃納與方法、風險評估與 KRI、報告揭露與交接；第一次董事會報告通常在第 3 個月底。已有多套 ISO 管理系統或集團已有 COSO 框架者約 3–4 個月。

積穗科研怎麼協助總經理處理 ERM？

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們。

• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 一張風險地圖：以 COSO 五構面組織董事會報告、以 ISO 31000 流程統一方法，把資安、營運持續、AI、個資風險收進同一張風險地圖
• 對應條號：每一份交付文件對應守則條號與評鑑指標，不寫董事會不會讀的厚報告
• 分工：制度、方法與報告由我們建立；內控聲明與財報相關事項由會計師，法律意見由合作律師
• 上線後：90 天追蹤與年度檢討
• 具名客戶：臺灣證券交易所（內控制度與 ISO 9000、ISMS 整合輔導）
• 第一步：第一次機制診斷免費

深入：ERM 制度輔導、ERM 顧問怎麼選、ERM 預算與時程、風控長角色頁、財務長角色頁