資安單位的風險評鑑和 ERM 各用一套尺度，風控長怎麼把兩張地圖合成一張？
《上市上櫃公司風險管理實務守則》第 18 條把資訊風險列為風險類別之一。27001 的審查重心是風險評鑑方法論的一致性與 SoA 的合理性——這正是風控長可以介入的地方：資安的風險評鑑若和 ERM 用不同的衝擊與可能性尺度，董事會看到的是兩張無法比較的地圖。
積穗以 ERM 風險語言建立評鑑框架，讓 27001 的風險登錄與企業層風險地圖互通，一次建置兩層受益。此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。
資安由資安長負責，風控長在 ISO 27001 要管到哪裡？
分工可以這樣切：資安的控制設計與日常執行，由資安長與資安專責單位主導（見資安長角色頁）；風控長負責把資訊風險收進同一套方法、同一張風險地圖、同一份董事會報告。
具體接點：
- 守則第 15 條：推動單位至少一年一次彙整提報——把 27001 的稽核結果與 KRI 併入同一份報告
- 守則第 14 條：資訊風險的接受程度，與委員會核定的風險胃納一致
- 守則第 28 條：新增的風險治理內容併入原有揭露
93 項控制有些不適用，風控長怎麼確認這些排除站得住腳？
93 項控制不必全做：依風險評鑑決定適用性並寫入 SoA，不適用者敘明理由；重點是邏輯一致、證據可稽，而非全包。稽核員與客戶盡調會細看每一項不適用的控制是否站得住腳。
風控長可以把 SoA 的排除理由當成風險接受的紀錄來檢視：排除的依據是否來自同一套風險評鑑、與委員會核定的風險胃納是否一致。
ESG 評鑑 S-12 要什麼才能加分？
S-12（115、116 年度文字相同，題型 A+，以年報為評鑑依據）：建置並揭露資通安全風險管理架構、資通安全政策、具體管理方案及投入資通安全管理之資源。導入 ISO 27001、CNS 27001 等資訊安全管理系統標準，或其他具有同等或以上效果之系統或標準，並取得第三方驗證，總分另加一分。
ESG 評鑑對象是上市櫃公司；非公開發行公司不受此評鑑規範，可自願參考。
現在要用哪一版？導入要多久？
一律以 ISO/IEC 27001:2022 導入；2013 版證書的過渡期已於 2025 年 10 月 31 日屆滿。附錄 A 從 114 項控制重組為 93 項並新增 11 項；已持有舊版制度的組織不是重做，而是控制對映與差距補強。
服務頁所列時程：視範圍與既有制度成熟度，典型 4–8 個月（差距分析→制度建置→內稽與管審→第一階段／第二階段驗證），有既有 IT 治理基礎可明顯縮短。
還要做 22301、27701、42001，風控長怎麼排順序，才不會每張證書各做一套？
27001 是最多標準的掛載地基：27701（隱私）、22301（營運持續）、42001（AI 管理）都共用其管理系統骨架。先把 27001 做紮實，後續每張證書的增量成本都大幅下降，這是取證順序規劃的核心邏輯。
例如 22301 與 27001 共用 Annex SL 骨架，27001 的 A.5.29／5.30（中斷期間資安、ICT 備援）與 22301 直接相通，整合導入可共用文件與稽核。
積穗科研怎麼協助風控長處理 ISO 27001？
- 先界定範圍：確認客戶、投標與主管機關的資安要求，界定驗證範圍
- 同一把尺：以 ERM 風險語言建立評鑑框架，決定控制措施與 SoA
- 內稽委外：已取得驗證的組織，內部稽核可委外由積穗代執行
- 誰主導：副總、董事級顧問全程親自輔導、不外包，團隊持有 ISO 主導稽核員資格
- 具名客戶：旺矽科技、訊光資訊科技、卓元科健、超核心健身中心（Hypercore）、臺灣證券交易所、金融聯合徵信中心（JCIC）
其他角色怎麼看這項服務
同一角色的其他服務
- 風控長導入 ERM：風險地圖、KRI 與董事會報告怎麼建？
- 風控長看 ISO 22301：中斷情境、RTO 與演練怎麼進風險報告？
- 風控長導入 ISO 37001：賄賂情境、海外暴險與誠信指標怎麼管？
- 風控長看營業秘密保護：外流情境、合理保密措施與 KRI 怎麼設？
- 風控長看 AI 風險：ISO 42001 與 EU AI Act 要先決定什麼？
- 風控長看 GDPR：罰則暴險、集團跨境傳輸與外洩情境怎麼評估？
- 風控長看 NIS2：適用身分、罰則與管理機構責任怎麼評估？
- 風控長看 EU CRA：市場准入風險、通報義務與監督角色怎麼排？
- 風控長看 DORA：ICT 第三方與營運韌性風險怎麼放進風險地圖？
- 風控長管 AI 轉型：AI 風險怎麼進風險地圖、KRI 與董事會報告？