財務長（CFO）要怎麼看資安、風險與合規的投資？8 項要求逐項說明

直答：財務長看資安、風險與合規，不只是成本。依證券交易法第 14 條，公開發行公司的財務報告要由董事長、經理人及會計主管簽名或蓋章，並出具內容無虛偽或隱匿的聲明；第 20 條之 1 規定，簽名者除非能證明已盡相當注意，否則負賠償責任。財務長同時要管內部控制的財務相關循環、年報的資通安全與誠信經營揭露、年報風險事項中的資通安全風險，以及合規投資的預算。積穗的顧問服務對財務長的價值有三種：讓年報與 ESG 評鑑的揭露有制度與證據支撐；把歐盟法規的罰則與市場准入風險換算成衝擊；讓每一筆合規投資對應到客戶、市場或評鑑加分。

財務長在法規裡的責任

證交所 ESG 評鑑：有第三方驗證就加分的指標

ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。以下指標在 115、116 年度文字相同，加分是財務長評估投資效益時可以量化的部分。

逐項說明：財務長要看什麼、預算怎麼估、要多久

ERM 企業風險管理

• 對財務長的意義：年報第 20 條第六款的風險事項分析，以及 ESG 評鑑 G-18，都需要一套運作中的風險管理制度。COSO ERM 與 ISO 31000 都沒有證書，成果以董事會核准的政策、運作紀錄與揭露呈現。
• 時程（服務頁所列）：四階段通常 4–6 個月；第一次董事會報告通常在第 3 個月底。
• 深入：ERM 制度輔導、ERM 預算與時程、風控長角色頁

ISO 27001 資訊安全管理系統

• 對財務長的意義：年報要揭露投入資通安全管理的資源；內控處理準則第 9 條要求資通安全檢查之控制；ESG 評鑑 S-12 取得第三方驗證另加一分。
• 時程（服務頁所列）：典型 4–8 個月；一律以 ISO/IEC 27001:2022 導入。
• 深入：ISO 27001 導入輔導、資安長角色頁

ISO 37001 反賄賂管理系統

• 對財務長的意義：典型導入包含財務控制與簽核設計、第三方盡職調查；年報要揭露履行誠信經營情形；ESG 評鑑 S-7、S-9 檢視誠信經營政策、專責單位與檢舉制度。
• 證書的界線：ISO 37001 本身說明，符合標準不能保證不會發生賄賂；現行版為 ISO 37001:2025，已驗證組織須在 2027 年 2 月 28 日前轉版（英國 UKAS、加拿大 SCC 公告）。
• 時程（服務頁所列）：典型以一至二季完成制度建置與內部稽核，再進入驗證。
• 深入：ISO 37001、ISO 37001 顧問怎麼選

營業秘密保護與 ISO 56001

• 對財務長的意義：研發成果是公司的價值來源；營業秘密要受法律保護，須同時具備秘密性、經濟價值與合理保密措施（營業秘密法第 2 條）。ESG 評鑑 S-10 對 TIPS 或 ISO 56001 第三方驗證另加一分。
• 時程（服務頁所列）：營業秘密保護制度通常 3–6 個月；ISO 56001 通常 6–9 個月。
• 深入：營業秘密保護制度輔導、ISO 56001、ISO 56001 預算與時程

ISO 22301 營運持續管理

• 對財務長的意義：業務衝擊分析（BIA）評估中斷損失與最大可容忍停機時間，是估算營運中斷財務影響的依據。
• 時程（服務頁所列）：通常 4–7 個月；已有 27001 者約 3–5 個月。
• 深入：ISO 22301、ISO 22301 預算與時程

DORA 歐盟金融數位營運韌性法

• 對財務長的意義：DORA 自 2025 年 1 月 17 日起直接適用第 2(1) 條所列的歐盟金融實體；服務歐盟金融實體的台灣 ICT 供應商，要在合約中承接稽核權、資料可攜性、業務持續與退出策略條款。
• 時程（服務頁所列）：ICT 供應商合約義務準備通常 2–3 個月；金融機構完整框架通常 6–9 個月。
• 深入：DORA

GDPR 與 ISO 27701

• 對財務長的意義：向歐盟居民提供商品或服務，或監控歐盟境內人員行為的台灣企業即受規範；罰則最高為全球年營業額 4% 或 2,000 萬歐元。
• 時程（服務頁所列）：GDPR 基礎合規通常 2–3 個月；整合 ISO 27701 驗證 5–8 個月。
• 深入：GDPR、ISO 27701 預算

EU CRA 與 EU AI Act

• 對財務長的意義：EU CRA 違反基本要求最高 1,500 萬歐元或全球年營業額 2.5%；自 2027 年 12 月 11 日起，未完成符合性評估並標示 CE 的數位產品不得投放歐盟市場。EU AI Act 違反禁止規定最高 3,500 萬歐元或 7%，違反其他義務最高 1,500 萬歐元或 3%。
• 深入：EU CRA 合規輔導、CRA 預算、AI 治理預算

怎麼接上你現有的制度

公開發行公司已經有內部控制制度、年度自評與年報揭露流程；新的合規要求要接進去，而不是另建一套。內控處理準則與年報準則適用於公開發行公司；非公開發行公司不受這兩項準則規範，可以自願參考。

積穗科研的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 一套證據：以 ERM 的風險語言串起各管理系統，稽核結果與 KRI 併入同一份董事會報告
• 費用：依範圍與既有制度成熟度而定，於免費診斷後提供估算；預算結構可先參考各項預算指南
• 第一步：第一次機制診斷免費

相關問題

• 公開發行公司的財務報告由誰簽名？要負什麼責任？ 依證券交易法第 14 條第 3 項，財務報告應經董事長、經理人及會計主管簽名或蓋章，並出具內容無虛偽或隱匿的聲明。第 20 條之 1 規定，曾在財務報告上簽名或蓋章的職員負賠償責任，能證明已盡相當注意且有正當理由可合理確信內容無虛偽或隱匿者除外。ERM 企業風險管理顧問
• 會計主管每年要進修多少小時？ 依會計主管資格條件及專業進修辦法第 6 條，初任者一年內 30 小時以上（含職業道德及法律責任至少 3 小時），之後每年 12 小時以上；課程範圍包括會計、審計、財務、金融法令、公司治理、職業道德及法律責任。ERM 企業風險管理顧問
• 年報要揭露哪些資通安全資訊？ 年報準則第 18 條第六款要求敘明資通安全風險管理架構、資通安全政策、具體管理方案及投入的資源，並列明最近年度及截至年報刊印日止，因重大資通安全事件遭受的損失、可能影響及因應措施。ISO 27001 導入輔導
• 哪些驗證可以讓證交所 ESG 評鑑加分？ 115、116 年度指標中，S-12 取得 ISO 27001、CNS 27001 等第三方驗證，總分另加一分；S-10 取得 TIPS、ISO 56001 或類似標準第三方驗證，總分另加一分；G-18 風險管理題型為 AA，得分者總分另加一分。ERM 企業風險管理顧問
• 歐盟法規的罰則上限是多少？ GDPR 最高全球年營業額 4% 或 2,000 萬歐元；EU CRA 違反基本要求 1,500 萬歐元或 2.5%；EU AI Act 違反禁止規定 3,500 萬歐元或 7%、違反其他義務 1,500 萬歐元或 3%；均取其高者。歐盟法遵整合
• 顧問費用怎麼估？ 依範圍、產品與既有制度成熟度而定，積穗科研於免費診斷後提供個案化估算；各項服務的預算結構，可先參考 CRA、TISAX、ISO 27701、AI 治理、ERM、ISO 22301、ISO 56001 的預算指南。CRA 預算

申請免費機制診斷