財務長導入 ERM：董事會報告、年報風險事項與 ESG 評鑑要先準備什麼？

財務長為什麼要管 ERM？和財務報告簽名責任有什麼關係？

依證券交易法第 14 條第 3 項，財務報告應經董事長、經理人及會計主管簽名或蓋章，並出具內容無虛偽或隱匿之聲明；第 20 條之 1 規定，簽名者除能證明已盡相當注意，且有正當理由可合理確信內容無虛偽或隱匿外，負賠償責任。

• 「已盡相當注意」要有制度與紀錄可以證明
• 年報準則第 20 條第六款要分析國內外重要政策及法律變動、科技改變（包括資通安全風險）對財務業務的影響及因應措施

ERM 是把這些風險有方法地評估、定期報告並留下紀錄的骨架。年報準則適用於公開發行公司；非公開發行公司不受此規範，可自願參考。

ESG 評鑑 G-18 要什麼？審計委員會可以負責督導風險管理嗎？

可以。G-18 的文字是由「審計委員會或董事會層級之功能性委員會（如風險管理委員會）」督導風險管理，並且：

• 訂定經董事會通過的風險管理政策與程序
• 揭露風險管理組織架構、程序及運作情形
• 至少一年一次向董事會報告

G-18 為 AA 題型，符合得分要件者除構面計分外，總分另加一分；115、116 年度文字相同。ESG 評鑑對象是上市櫃公司；非上市櫃、非公開發行公司不受此規範，可自願參考。

ERM 沒有證書，財務長要怎麼向董事會、投資人與稽核證明制度在運作？

COSO ERM 2017 與 ISO 31000:2018 都不是可驗證的標準，ISO 31000 明載不作為驗證用途。上市櫃公司實際要做的是《上市上櫃公司風險管理實務守則》的內容：

• 董事會核定的風險管理政策
• 風險委員會與執行單位
• 每年至少一次向董事會報告
• 依第 28 條於公司網站或公開資訊觀測站揭露

需要第三方驗證時，可結合 ISO 27001、ISO 22301 等可驗證標準。這份守則的對象是上市上櫃公司；非公開發行公司不受此規範，可自願參考。

預算編列：ERM 的投入由哪些因素決定？

依積穗科研的 ERM 預算指南，預算主要看三個因素：

本頁不列費用；積穗科研於免費機制診斷後提供個案化估算。

時程：多久能交出第一次董事會報告？為什麼要配合董事會議程？

服務頁所列為四階段通常 4–6 個月；已有多套 ISO 管理系統或集團已有 COSO 框架者約 3–4 個月：

1. 診斷與治理設計（3–4 週）
2. 政策胃納與方法（4–6 週）
3. 風險評估與 KRI（6–8 週）
4. 報告揭露與交接（3–4 週）

第一次董事會報告通常在第 3 個月底。風險管理政策、風險胃納與年度報告都需要董事會核定，配合董事會開會時點的步驟最不可壓縮。

ERM 怎麼接上內控自評、內部控制制度聲明書與年報揭露？

不另建一套，接進既有流程：

• 內控處理準則第 22、24 條：自行評估是董事會及總經理出具內部控制制度聲明書的主要依據，聲明書於會計年度終了後三個月內公告申報；各管理系統的稽核結果納入自評依據
• 年報準則第 20 條第六款：歐盟法規與資通安全風險的財務影響與因應，納入既有風險事項分析
• 公司治理：納入風險管理政策和董事會定期報告事項，揭露併入年報

這兩項準則適用於公開發行公司；非公開發行公司不受此規範，可自願參考。

積穗科研怎麼協助財務長處理 ERM 企業風險管理？

• 由副總、董事級顧問全程親自輔導、不外包
• 以 COSO 五構面組織董事會報告、以 ISO 31000 流程統一方法，把資安、營運持續、AI、個資風險收進同一張風險地圖
• 建立每季更新、KRI 自動預警的動態風險登錄表與董事會儀表板；每份交付文件對應守則條號與評鑑指標
• 上線後提供 90 天追蹤與年度檢討

具名客戶：臺灣證券交易所（內控制度與 ISO 9000、ISMS 整合）。延伸閱讀：ERM 制度輔導、ERM 預算與時程、ERM 顧問怎麼選、財務長角色頁、風控長角色頁。申請免費機制診斷