風控長導入 ISO 37001：賄賂情境、海外暴險與誠信指標怎麼管？

賄賂風險放在風險地圖的哪裡？評估要涵蓋哪些情境？

依《上市上櫃公司風險管理實務守則》第 18 條，賄賂同時屬誠信風險與法遵風險。賄賂風險評估（ISO 37001 條文 4.5）常見情境：

• 業務招待與餽贈、佣金
• 代理商與經銷商
• 政府往來
• 捐贈與贊助
• 海外市場

評估結果要對應到控制：第三方盡職調查、財務控制與簽核、舉報管道與調查程序、反賄賂職能。此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。

集團有海外子公司與代理商，跨境行賄的法律暴險怎麼放進情境分析？

要逐一法人判斷，不能一句「具域外效力」帶過：

某個法人是否落入適用範圍、責任如何，屬法律判斷，應由律師依個案判斷。

誠信風險的 KRI 可以從哪些紀錄抓？

ISO 37001 的運作會留下可稽核的紀錄：風險評估紀錄、第三方盡調程序、舉報處理紀錄、訓練與稽核證據。風控長可從這些紀錄選指標，例如盡調完成情形、舉報案件的受理與調查進度、稽核發現的改善情形，按季追蹤、併入年度報告。

控制點落在簽核、付款、招待與餽贈、採購（條文 8.3、8.4、8.7），通報與調查分別在條文 8.9、8.10。

ESG 評鑑的誠信指標與年報揭露，ISO 37001 能提供哪些證據？

相關 ESG 評鑑指標：

• S-7：揭露經董事會通過的誠信經營政策，設置推動誠信經營的專（兼）職單位，說明執行情形，且至少一年一次向董事會報告（116 年度文字；115 年度分為 S-7、S-8 兩題）
• S-9：在公司網站詳細揭露內、外部人員對不合法（包括貪汙）與不道德行為的檢舉制度

公開發行公司年報的公司治理報告，也須揭露履行誠信經營情形。ISO 37001 的政策、風險評估紀錄、訓練與稽核證據可作為佐證；能否對應某項指標，仍須逐項對照當年度的指標文字。ESG 評鑑對象是上市櫃公司；非公開發行公司不受此評鑑規範，可自願參考。

取得 ISO 37001 驗證，可以向委員會報告「賄賂風險已控制」嗎？

不能這樣說。ISO 37001 本身說明，符合標準不能保證不會發生賄賂；英國《反賄賂法》第 7 條的「適當程序」抗辯是否成立，由法院個案判斷，英國司法部指引以六項原則說明，並未指定特定管理系統。

驗證證明的是制度在運作，不是零風險。向委員會報告時，應呈現殘餘風險與控制運作的證據，而不是證書本身。

已有 2016 年版證書怎麼辦？導入要多久？

現行為 2025 年 2 月發行的 ISO 37001:2025（第 2 版，取代 2016 年版）。英國 UKAS、加拿大 SCC 公告，已驗證組織須在 2027 年 2 月 28 日前轉版，期限後 2016 年版證書不再有效；實際轉版安排請向驗證機構確認。2025 年版主要變更包括強調法遵文化、處理利益衝突、釐清反賄賂職能，以及新增氣候變遷相關條款。

服務頁所列時程：視組織規模與風險暴露而定，典型以一至二季完成制度建置與內部稽核，再進入驗證。

積穗科研怎麼協助風控長處理 ISO 37001？

• 同一套風險語言：以 ERM 風險語言為骨架導入，與既有內控制度共用文件體系，避免疊床架屋
• 逐一法人判斷：依法人逐一判斷貪污治罪條例第 11 條、美國 FCPA 與英國 Bribery Act 的適用
• 少干擾營運：採訪談與工作坊嵌入既有會議節奏
• 角色分開：積穗科研是輔導顧問、不發證；具體法律責任由律師判斷
• 誰主導：副總、董事級顧問全程輔導，不外包

ISO 37001 反賄賂管理系統、ISO 37001 顧問怎麼選、ERM 制度輔導。申請免費機制診斷