風控長導入 ERM：風險地圖、KRI 與董事會報告怎麼建？

守則沒有「風控長」職稱，風控長在制度上的位置是什麼？一定要設風險管理委員會嗎？

《上市上櫃公司風險管理實務守則》沒有風險長、風控長或 CRO 的職稱，規範的是「風險管理推動與執行單位」。- 董事會：核定風險管理政策、程序與架構（第 13 條）

• 風險管理委員會：第 11 條建議設置隸屬於董事會的風險管理委員會，也可以由其他功能性委員會或工作小組替代；風險胃納由委員會核定（第 14 條）
• 推動與執行單位：至少一年一次彙整並提報風險管理執行情形（第 15 條）

銀行與金融控股公司另依《金融控股公司及銀行業內部控制及稽核制度實施辦法》第 21 條，須指派副總經理以上或職責相當之人擔任風險管理長。非公開發行公司不受此守則規範，可以自願參考。

風控長的風險地圖要涵蓋哪些類別？怎麼避免各部門各畫一張？

守則第 18 條把風險分為策略、營運、財務、資訊、法遵、誠信，以及其他新興風險（如氣候變遷或傳染病相關風險）。各管理系統的風險可以這樣對位：

原則是同一套方法評估、同一張風險地圖呈現、同一份報告提給董事會，而不是每一項各做一套。

風險胃納與 KRI 要怎麼訂，才不會變成一張沒人看的風險清單？

依守則第 14 條，風險胃納（風險容忍度）由風險管理委員會核定。常見的錯誤是只做風險清單：列出上百項風險卻沒有量化、沒有優先排序、沒有 KRI 監控，稽核時才翻出來。服務頁所列的做法：

• 用風險矩陣量化發生機率與衝擊程度，排定優先處理順序
• 建立動態風險登錄表：每季更新、KRI 自動預警、董事會可視化儀表板
• 衝擊評估的輸入，除了財務損失，也放進罰則上限、市場准入與客戶要求

風險管理委員會每年要看什麼？年度報告怎麼把各管理系統的結果併進來？

守則第 15 條要求推動單位定期（至少一年一次）彙整並提報風險管理執行情形；第 28 條要求於公司網站或公開資訊觀測站揭露風險管理資訊。風控長可以把既有管理系統的產出直接當成報告的材料，不必另做：

• ISO 27001、ISO 37001 的稽核結果 → 控制是否有效
• ISO 22301 的演練紀錄 → 營運中斷應變是否可行
• KRI 的趨勢與預警 → 風險是否超出胃納

新增的風險治理內容，併入原有揭露即可。

ESG 評鑑 G-18 要準備哪些證據？

G-18（115、116 年度文字相同）：由審計委員會或董事會層級的功能性委員會（如風險管理委員會）督導風險管理，訂定經董事會通過的風險管理政策與程序，揭露風險管理組織架構、程序及運作情形，且至少一年一次向董事會報告。題型為 AA，符合得分要件者總分另加一分。

對應的證據是：委員會督導紀錄、董事會通過的政策與程序、組織架構與運作情形的揭露、每年向董事會報告的紀錄。ESG 評鑑自 115 年起取代公司治理評鑑，115 年度受評期間為 115/1/1–12/31，結果於 116 年 4 月底前公布。評鑑對象是上市櫃公司；非公開發行公司不受此評鑑規範，可自願參考。

ERM 要多久？第一次向董事會報告排在什麼時候？

服務頁所列：四階段通常 4–6 個月。

1. 診斷與治理設計（3–4 週）
2. 政策、胃納與方法（4–6 週）
3. 風險評估與 KRI（6–8 週）
4. 報告、揭露與交接（3–4 週）

第一次董事會報告通常在第 3 個月底；已有多套 ISO 管理系統或集團已有 COSO 框架者約 3–4 個月。政策核定與定期報告都要配合董事會開會的時點，這是最不可壓縮的部分。ERM 沒有證書：COSO ERM 與 ISO 31000 都不能驗證，成果以董事會核准的政策、運作紀錄與揭露呈現；需要第三方驗證時，可結合 ISO 27001、ISO 22301 等可驗證標準。

積穗科研怎麼協助風控長處理 ERM？

• 一張風險地圖：以 COSO 五構面組織董事會報告、以 ISO 31000 流程統一方法，把資安、營運持續、AI、個資的風險評估收進同一張風險地圖
• 對應條號：每一份交付文件對應守則條號與評鑑指標
• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 上線後：90 天追蹤與年度檢討
• 具名客戶：臺灣證券交易所（內控制度與 ISO 9000、ISMS 整合輔導）、金融聯合徵信中心（JCIC）（內控制度與 ISO 27001、TPIPAS 整合輔導）

ERM 制度輔導、ERM 顧問怎麼選、ERM 預算與時程。申請免費機制診斷