積穗科研
☰ 選單
繁中/EN/日本語

人資長（CHRO）要對哪些法規與標準負責？8 項要求逐項說明

台灣法規沒有「人資長」這個法定職稱，但競業禁止、求職者隱私資料、員工個資、營業秘密的防止義務、誠信訓練與檢舉制度，都落在人資的工作上。本頁依人資長的職責，說明法規與公司治理、證交所 ESG 評鑑指標，以及 GDPR、營業秘密、ISO 37001、EU AI Act、AI 轉型、ISO 27001、ISO 22301 與數位轉型 8 項要求。

更新日期 2026-11-03

直答：本頁引用的台灣法規與證交所與櫃買中心訂定的守則，都沒有「人資長」或 CHRO 這個法定職稱；本頁的人資長，指公司內負責人事的最高主管。法律義務多半加在「雇主」或「公司」身上，實際由人資執行：離職後競業禁止要符合勞動基準法第 9 條之 1 的四要件；招募時不得要求非屬就業所需的隱私資料（就業服務法第 5 條）；員工個資的蒐集與國際傳輸受個人資料保護法規範；員工侵害他人營業秘密時，公司要能證明已盡力防止（營業秘密法第 13 條之 4）；上市櫃公司的誠信訓練、獎懲、檢舉與懲戒，寫在《上市上櫃公司誠信經營守則》。有歐盟員工、或在歐盟用 AI 管理人員時，還要看 GDPR 第 88 條與 EU AI Act 附件 III。人資長要決定三件事：哪些職位與資料要特別管、到職到離職的證據留在哪裡、訓練與檢舉由誰負責。要記住：GDPR 與 EU AI Act 都沒有獨立證書，ISO 證書也不等於法規合規。

公司治理裡的人資長：法規放在人資身上的義務

適用對象規範原文重點對人資長的意義
所有雇主勞動基準法第 9 條之 1；施行細則第 7 條之 3離職後競業禁止須符合四要件，違反任一款約定無效，期間最長 2 年；每月補償不低於離職時一個月平均工資百分之五十只對能接觸營業秘密的職位簽，補償要編預算
所有雇主就業服務法第 5 條第 2 項第 2 款；施行細則第 1 條之 1不得要求提供非屬就業所需之隱私資料；不得逾越特定目的之必要範圍，並應與目的間具有正當合理之關聯履歷表與背景調查，先問是不是就業所需
所有非公務機關個人資料保護法第 5 條、第 21 條不得逾越特定目的之必要範圍；國際傳輸在特定情形下，中央目的事業主管機關得限制之員工資料用多少、傳到哪裡，都要說得出理由
所有公司營業秘密法第 13 條之 4法人之代表人、受雇人因執行業務犯之，對法人亦科罰金；已盡力防止者可主張但書招募、到職保密約定與教育訓練要有紀錄
上市櫃公司上市上櫃公司誠信經營守則第 22 條定期舉辦教育訓練與宣導；將誠信經營政策與員工績效考核及人力資源政策結合，設立明確有效之獎懲制度誠信要進入考核與獎懲
上市櫃公司上市上櫃公司誠信經營守則第 23、24 條檢舉人身分保密並允許匿名、保護檢舉人不遭不當處置；明訂及公布懲戒與申訴制度檢舉、調查、懲處與申訴要有一條流程
有歐盟員工的公司GDPR 第 88 條會員國得以法律或團體協約訂定僱用脈絡的更具體規則，須特別考量透明度、集團內個資傳輸與工作場所監控系統各國子公司的員工資料與監控，依當地規則判斷
在歐盟以 AI 管理人員者EU AI Act 附件 III 第 4 點、第 26 條第 7 項、第 5 條第 1 項 (f)招募選任、升遷終止、派工與績效監控的 AI 列為高風險；雇主在職場使用前告知勞工代表與受影響勞工；職場情緒辨識原則禁止人資用的 AI 先盤點用途與角色

《上市上櫃公司誠信經營守則》供上市上櫃公司參照，非公開發行公司不受此規範，可以自願參考。個人資料保護法 2025 年 11 月 11 日公布的部分修正條文（含第 21 條），施行日由行政院定之，施行前以現行條文為準。約定是否有效、是否構成違法，由法律顧問依個案判斷。

證交所 ESG 評鑑：人資長要看的指標

ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。115 年度（第一屆）有三大構面 75 項指標，受評期間為 115 年 1 月 1 日至 12 月 31 日，結果於 116 年 4 月底前公布；116 年度指標已於 2026 年 10 月 30 日公布。下列指標除 S-7 外，115、116 年度文字相同。

指標內容（摘要）加分對應服務
S-13制定並揭露個人資料保護政策及實施情形—GDPR、ISO 27701
S-7經董事會通過的誠信經營政策、專（兼）職單位、具體執行情形，至少一年一次向董事會報告（116 年度文字；115 年度分為 S-7、S-8）—ISO 37001
S-9在公司網站詳細揭露內、外部人員對不合法（包括貪汙）與不道德行為的檢舉制度—ISO 37001
S-10與營運目標連結的智慧財產管理計畫及執行情形，至少一年一次向董事會報告導入 TIPS、ISO 56001 或類似標準並經第三方驗證，總分另加一分營業秘密保護
S-12資通安全風險管理架構、政策、具體管理方案及投入資源（以年報為評鑑依據）導入 ISO 27001、CNS 27001 等並取得第三方驗證，總分另加一分ISO 27001

指標文字沒有點名人資，但不少證據來自人資：員工個資的處理紀錄、誠信訓練紀錄、檢舉受理與處理紀錄、保密約定與離職程序紀錄。能否得分，仍要逐項對照當年度指標文字。非公開發行公司不受評鑑，可自願參考指標內容。

8 項要求一覽

要求對人資長的意義有沒有證書
GDPR 與 ISO 27701歐盟員工資料、集團內跨境傳輸與員工監控ISO 27701 有；GDPR 沒有官方證書
營業秘密保護到職保密約定、競業禁止與離職程序，決定公司在法院站不站得住營業秘密法沒有證書
ISO 37001誠信訓練、獎懲與檢舉制度要拿得出運作紀錄有，第三方驗證；不保證不發生賄賂
EU AI Act招募、績效與派工用的 AI，在歐盟屬附件 III 高風險用途沒有獨立證書；ISO 42001 驗證不產生推定符合
AI 轉型員工使用 AI 的規範與 AI 素養可同步建立 ISO 42001；認證不等於 EU AI Act 合規
ISO 27001人員安全：到職、在職、離職的資安責任，也是營業秘密合理保密措施的佐證有，第三方驗證
ISO 22301營運中斷時誰來接手，要從 BIA 推導並經演練有，第三方驗證（3 年週期）
數位轉型人資系統上線、組織變革與人才數位技能缺口依服務頁，以 ISO 27001 資安要求為基準

逐項說明：人資長要決定什麼、先做哪一項、要多久

每一項服務各有一頁，依你的角色逐題回答。

怎麼接上你現有的制度

新要求要放進人資原本的招募、到職、在職、離職流程與年度訓練計畫，而不是另建一套。

既有流程你已經有的新要求怎麼融進去
招募履歷表、面試、背景調查刪除非屬就業所需的隱私資料欄位；招募用的 AI 先判定是否屬 EU AI Act 附件 III 用途
到職勞動契約、保密約定到職 NDA、智財歸屬、競業禁止與資安承諾合併成一份入職文件；競業禁止只對能接觸營業秘密的職位簽
年度訓練新人訓練、年度訓練誠信、營業秘密、資安、個資與 AI 素養放進同一份年度訓練計畫，保留簽收紀錄
離職離職手續、設備歸還一張清單同時歸還設備、停權、簽離職聲明；日誌與分級要在離職前就存在
獎懲與申訴獎懲辦法、申訴管道依誠信經營守則第 22 至 24 條補上誠信考核、檢舉人保護與懲戒申訴
誠信經營專責單位每年向董事會報告（守則第 17 條）訓練、檢舉與懲處的統計併入同一份報告

證交所與櫃買中心訂定的守則的規範，非公開發行公司不受此規範，可以自願參考。各項做法見：GDPR 與個資保護、ISO 27701 導入輔導、營業秘密保護制度輔導、ISO 37001、EU AI Act 輔導、ISO 27001 導入輔導。

積穗科研的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

相關問題

申請免費機制診斷

積穗科研在 ISO 27701:2025 × GDPR 隱私合規輔導有哪些具名輔導客戶？

  • 超核心健身中心（Hypercore）

    ISO 27001 資訊安全管理與 ISO 27701 個人資料管理雙認證輔導

    閱讀完整案例 →

  • 卓元科健

    ISO 27001 資訊安全管理系統與個人資料保護輔導

  • 金融聯合徵信中心（JCIC）

    內控制度與 ISO 27001、TPIPAS 整合輔導

  • Lativ

    個人資料保護輔導

其餘案例依保密協議以產業別匿名呈現。

合規要三者兼顧，顧問的價值在整合

CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。

面向要回答的問題只補這一塊時常見的缺口
流程（管理系統）誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善技術工具到位，但沒有人定期執行，稽核時拿不出紀錄
資安技術控制措施怎麼設計、怎麼驗證有效文件寫得完整，但系統實際上沒有做到
法遵適用哪條法規、角色是什麼、期限與罰則為何做了一套控制，卻對錯法規或角色，義務沒有涵蓋到

積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。

相關服務申請免費機制診斷

官方來源