風控長（CRO）要把哪些風險放上董事會報告？9 項要求逐項說明

直答：風控長要放上董事會報告的，不只是財務與營運風險。《上市上櫃公司風險管理實務守則》第 18 條把風險歸為策略、營運、財務、資訊、法遵、誠信與其他新興風險；積穗科研的 9 項顧問服務，分別落在這些類別裡：營運持續（ISO 22301）、誠信與反賄賂（ISO 37001）、營業秘密、資訊安全（ISO 27001）、AI 風險（ISO 42001、EU AI Act），以及帶有罰則的歐盟法規（GDPR、NIS2、EU CRA）。風控長的工作是用同一套方法評估、同一張風險地圖呈現、同一份報告提給董事會，而不是每一項各做一套。風險管理也是證交所 ESG 評鑑的加分題：指標 G-18 為 AA 題型，得分者總分另加一分。要先知道兩件事：守則沒有「風控長」這個職稱，負責的是「風險管理推動與執行單位」；ERM 本身不能驗證，COSO ERM 與 ISO 31000 都沒有證書；成果以董事會核准的政策、運作紀錄與揭露呈現。

9 項要求放在哪一類風險

證交所 ESG 評鑑：風控長要準備的指標

ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。下列指標在 115、116 年度的文字相同（S-7 除外，已註明）。

罰則暴險：風控長評估衝擊時要用的數字

罰則只是衝擊的一部分。客戶要求、市場准入與商譽損失，通常比罰則更早發生，也應該一起放進衝擊評估。

逐項說明：風控長要判定什麼、怎麼收進同一張風險地圖、要多久

ERM 企業風險管理

• 先判定：董事會核定的風險管理政策、風險委員會與推動單位是否到位，以及每年至少一次向董事會報告的節奏。
• 證書的界線：COSO ERM 2017 與 ISO 31000:2018 都不是可驗證的標準；ISO 31000 明載不作為驗證用途。需要第三方驗證時，可結合 ISO 27001、ISO 22301 等可驗證標準。
• 怎麼做：以 COSO 五構面組織董事會報告，以 ISO 31000 流程統一方法；建立每季更新、KRI 自動預警的動態風險登錄表與董事會儀表板。
• 時程（服務頁所列）：四階段通常 4–6 個月，依序為診斷與治理設計、政策胃納與方法、風險評估與 KRI、報告揭露與交接；第一次董事會報告通常在第 3 個月底。已有多套 ISO 管理系統或集團已有 COSO 框架者約 3–4 個月。
• 深入：ERM 制度輔導、ERM 顧問怎麼選、ERM 預算與時程

ISO 22301 營運持續管理

• 對風控長的意義：業務衝擊分析（BIA）評估中斷損失與最大可容忍停機時間（MTPD），確定恢復順序；RTO 與 RPO 由 BIA 推導，而不是事先拍板。
• 證書的界線：ISO 22301 可第三方驗證，證書 3 年週期。只寫 BCP 不夠，沒有 BIA 推導的 RTO 與演練紀錄，計畫在稽核與客戶審查中等同不存在。
• 時程（服務頁所列）：四階段通常 4–7 個月；已有 27001 者約 3–5 個月。BIA 與演練兩段無法壓縮。
• 深入：ISO 22301、ISO 22301 顧問怎麼選、ISO 22301 預算與時程

ISO 37001 反賄賂管理系統

• 先判定：賄賂風險評估要涵蓋哪些情境，例如業務招待與餽贈、佣金、代理商與經銷商、政府往來、海外市場。依貪污治罪條例第 11 條，對外國、大陸地區、香港或澳門公務員，就跨區貿易、投資或其他商業活動有關事項行賄，同樣處罰。
• 版本：現行為 ISO 37001:2025；英國 UKAS、加拿大 SCC 公告，已驗證組織須在 2027 年 2 月 28 日前轉版。
• 證書的界線：ISO 37001 本身說明，符合標準不能保證不會發生賄賂；英國《反賄賂法》第 7 條的「適當程序」抗辯是否成立，由法院個案判斷。
• 時程（服務頁所列）：典型以一至二季完成制度建置與內部稽核，再進入驗證。
• 深入：ISO 37001、ISO 37001 顧問怎麼選

營業秘密保護

• 對風控長的意義：資訊要受營業秘密法保護，須同時具備第 2 條三要件：秘密性、經濟價值、合理保密措施。外流發生後才補措施，通常來不及。
• 要看得見的措施：資訊有分級與機密標示、保密約定具體指明範圍、知悉人員受限且有存取紀錄、對外揭露前有保密合約。光簽保密契約不足以單獨構成合理措施。
• 時程（服務頁所列）：四階段通常 3–6 個月；最後會模擬一件離職帶料事件，從日誌到證據保全跑一次並修正缺口。
• 深入：營業秘密保護制度輔導、營業秘密顧問怎麼選

ISO 27001 資訊安全管理系統

• 對風控長的意義：資訊風險的控制與證據。審查重心是風險評鑑與 SoA 適用性聲明，93 項控制依風險評鑑決定適用性；積穗以 ERM 的風險語言建立評鑑框架，讓資訊風險與企業風險用同一套尺度。
• 時程（服務頁所列）：典型 4–8 個月。
• 深入：ISO 27001 導入輔導、資安長角色頁

ISO 42001 與 EU AI Act：AI 風險

• 先判定：每個 AI 系統在 EU AI Act 下的角色（提供者或部署者）與風險等級。
• 證書的界線：ISO 42001 驗證證明組織治理 AI 的制度健全，但不等於 EU AI Act 合規；符合性評估、歐盟資料庫登錄、授權代表與第 50 條透明度仍是法定程序。
• 時程（服務頁所列）：ISO 42001 已有 27001 者通常 4–6 個月，從零開始約 6–9 個月；EU AI Act 高風險 AI 合規通常 6–9 個月，整合 ISO 42001 驗證 9–12 個月。
• 深入：ISO 42001、EU AI Act

GDPR

• 先判定：是否向歐盟居民提供商品或服務，或監控歐盟境內人員的行為。
• 自證方式：沒有官方證書，以 RoPA、DPIA、處理者契約、SCC 或 BCR 傳輸機制與通報紀錄自證。
• 時程（服務頁所列）：基礎合規建制通常 2–3 個月；整合 ISO 27701 驗證 5–8 個月。
• 深入：GDPR、GDPR 顧問怎麼選

NIS2

• 對風控長的意義：受規範實體要落實第 21 條 10 項最低資安措施，並由管理機構核准監督（第 20 條）；只是供應商時，客戶會把供應鏈安全要求寫進合約。
• 時程（服務頁所列）：通常 4–6 個月；已有 ISO 27001 者 2–3 個月。
• 深入：NIS2

EU CRA

• 對風控長的意義：不符合基本網路安全要求、未完成符合性評估並標示 CE 的數位產品，自 2027 年 12 月 11 日起不得投放歐盟市場；第 14 條通報義務自 2026 年 9 月 11 日起已適用。這是市場准入風險。
• 深入：EU CRA 合規輔導、CRA 由誰主導

怎麼接上你現有的制度

上市上櫃公司已有《上市上櫃公司風險管理實務守則》建議的政策、組織與報告節奏；新增的風險應收進同一套，而不是另建一套。依第 1 條，此守則供上市上櫃公司參照，用來訂定公司本身的風險管理政策與程序；非公開發行公司不受此守則規範，可以自願參考。

守則第 11 條建議設置隸屬於董事會的風險管理委員會，也可以由其他功能性委員會或工作小組替代。銀行與金融控股公司另依《金融控股公司及銀行業內部控制及稽核制度實施辦法》第 21 條，設置隸屬於總經理的風險管理專責單位，並指派副總經理以上或職責相當之人擔任風險管理長。

積穗科研的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 一張風險地圖：以 COSO 五構面組織董事會報告、以 ISO 31000 流程統一方法，把資安、營運持續、AI、個資風險收進同一張風險地圖；每份交付文件對應守則條號與評鑑指標
• 一套文件：ISO 37001 以 ERM 的風險語言為骨架導入，與既有內部控制共用文件體系
• 上線後：提供 90 天追蹤與年度檢討
• 第一步：第一次機制診斷免費

相關問題

• COSO ERM、ISO 31000 有認證嗎？上市櫃公司要怎麼證明？ 沒有獨立證書：COSO ERM 2017 與 ISO 31000:2018 都不是可驗證的標準。實際要做的是《上市上櫃公司風險管理實務守則》的內容：董事會核定的風險管理政策、風險委員會與推動單位、至少每年一次提報，並依第 28 條於公司網站或公開資訊觀測站揭露。ERM 制度輔導
• 風險管理對證交所 ESG 評鑑有什麼影響？ ESG 評鑑指標 G-18 要求由審計委員會或董事會層級的功能性委員會督導風險管理、訂定經董事會通過的政策與程序、揭露組織架構與運作情形，且至少一年一次向董事會報告；題型為 AA，得分者總分另加一分（115、116 年度指標）。ERM 制度輔導
• 上市櫃公司一定要設風控長嗎？ 《上市上櫃公司風險管理實務守則》沒有風控長這個職稱；它規範的是風險管理推動與執行單位，並建議設置隸屬於董事會的風險管理委員會（可由其他功能性委員會替代）。銀行與金融控股公司則須設置風險管理長，由副總經理以上或職責相當之人擔任。ERM 制度輔導
• 風險管理守則要求的風險類別有哪些？ 第 18 條列出策略風險、營運風險、財務風險、資訊風險、法遵風險、誠信風險，以及其他新興風險（如氣候變遷或傳染病相關風險）。ERM 制度輔導
• 導入 ERM 要多久，什麼時候能第一次向董事會報告？ 四階段通常 4–6 個月；第一次董事會報告通常在第 3 個月底。已有多套 ISO 管理系統或集團已有 COSO 框架者約 3–4 個月。ERM 預算與時程
• 歐盟法規的罰則，風控長要怎麼放進衝擊評估？ 用法規的罰則上限作為衝擊的下限參考：GDPR 最高全球年營業額 4% 或 2,000 萬歐元；NIS2 必要實體 1,000 萬歐元或 2%；EU CRA 違反基本要求 1,500 萬歐元或 2.5%；EU AI Act 違反禁止規定 3,500 萬歐元或 7%。客戶要求與市場准入的影響要一併評估。歐盟法遵整合
• 有了營運持續計畫（BCP），還需要 ISO 22301 嗎？ 只寫 BCP 不夠。ISO 22301 包含 BIA、策略、計畫、演練與持續改進；沒有 BIA 推導的 RTO 與演練紀錄，計畫在稽核與客戶審查中等同不存在。ISO 22301
• 取得 ISO 37001 驗證，就能免除賄賂的法律責任嗎？ 不能這樣說。ISO 37001 本身說明，符合標準不能保證不會發生賄賂；英國《反賄賂法》第 7 條的「適當程序」抗辯是否成立，由法院個案判斷。驗證證明的是制度在運作，不是零風險。ISO 37001
• 公司簽了保密協議，營業秘密就有保障嗎？ 不夠。營業秘密法第 2 條要求秘密性、經濟價值與合理保密措施同時成立；光簽保密契約不足以單獨構成合理措施，還要有分級、機密標示、存取紀錄與限制知悉人員。營業秘密保護制度輔導

申請免費機制診斷