積穗科研
☰ 選單
繁中/EN/日本語

法務長、法遵主管要對哪些法規與標準負責？10 項要求逐項說明

法務長與法遵主管在多數公司不是法定職稱，但上市櫃公司的公司治理主管、誠信經營專責單位與檢舉制度，以及銀行與金控的法令遵循長都有明文。本頁說明這些規範、證交所 ESG 評鑑指標，以及反賄賂、營業秘密、GDPR、EU CRA、EU AI Act 等 10 項要求，法務長各要先決定什麼。

更新日期 2026-11-03

直答：法務長或法遵主管在一般公司不是法定職稱；本頁查到的台灣規範中，有明文的是三種角色：上市櫃公司的「公司治理主管」（資格之一是擔任法務或法令遵循等單位主管職務達三年以上）、誠信經營的「專責單位」與檢舉制度，以及銀行與金融控股公司的「法令遵循長」。法務長真正要決定的，是公司被調查、被起訴或被客戶求償時，拿得出什麼證據證明「已盡防止義務」：營業秘密法第 13 條之 4 與個人資料保護法第 50 條都有這種但書，英國反賄賂法第 7 條也有「適當程序」抗辯。其次是合約：客戶要求的資安、個資、AI 與反賄賂條款，責任上限、補償與稽核權要和公司實際做得到的制度一致。GDPR、NIS2、EU CRA 都沒有獨立證書；ISO 證書也不等於法規合規。責任是否成立，由法律顧問依個案判斷。

公司治理裡的法務長與法遵主管：明文的角色與責任

適用對象規範原文重點對法務長的意義
上市櫃公司上市上櫃公司治理實務守則第 3 條之 1依主管機關規定指定公司治理主管一名；資格為律師、會計師，或在證券、金融、期貨相關機構或公開發行公司擔任法務、法令遵循、內部稽核、財務、股務或公司治理相關單位主管職務達三年以上；職務含協助董事遵循法令法務或法遵主管常是候選人；要和董事會服務的職務分清楚
上市櫃公司上市上櫃公司治理實務守則第 30 條宜委任專業適任之律師，提供公司適當之法律諮詢服務外部律師的委任與分工
上市櫃公司上市上櫃公司誠信經營守則第 9 條商業往來前考量交易對象之合法性及是否涉有不誠信行為；契約應包含遵守誠信經營政策，及交易相對人涉有不誠信行為時得隨時終止或解除契約之條款代理商、供應商與客戶合約的必備條款
上市櫃公司上市上櫃公司誠信經營守則第 17、20、23 條設置隸屬於董事會之專責單位，至少一年一次向董事會報告；內部稽核依不誠信行為風險擬訂稽核計畫，得委任會計師查核；檢舉人身分保密、允許匿名，並保護檢舉人不因檢舉而遭不當處置誠信經營與檢舉制度由誰主責、紀錄怎麼留
公開發行公司公開發行公司建立內部控制制度處理準則第 3 條內部控制目標包括相關法令規章之遵循法遵是內控目標之一，不是另一套制度
銀行、金融控股公司金融控股公司及銀行業內部控制及稽核制度實施辦法第 16、54 條設立隸屬於總經理之法令遵循專責單位，指派副總經理以上或職責相當之人擔任法令遵循長，至少每半年向董（理）事會及監察人或審計委員會報告；應於 116 年 12 月 31 日前調整至符合規定金融業的法遵主管有法定職級與報告頻率
所有公司營業秘密法第 13 條之 4；個人資料保護法第 50 條法人之代表人或自然人對犯罪之發生已盡力為防止行為者，不罰法人；非公務機關之代表人等，除能證明已盡防止義務者外，並受同一額度罰鍰「已盡防止義務」要有制度與紀錄
歐盟境內 50 人以上的民間法人歐盟吹哨者保護指令 (EU) 2019/1937 第 8、9 條建立內部通報管道與程序；7 日內確認收件，3 個月內回覆處理情形歐盟子公司的檢舉管道，要符合所在會員國的轉化法

公開發行公司與上市櫃公司的規範，非公開發行公司不受此規範，可以自願參考。法令遵循長的規定適用於銀行業與金融控股公司，其他金融業別以各自規定的原文為準。「法務長」不是上列任何一項規範使用的職稱。個人資料保護法 2025 年 11 月 11 日公布的部分修正條文，施行日由行政院定之，施行前以現行條文為準。

證交所 ESG 評鑑：法務長要看的指標

ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。115 年度（第一屆）有三大構面 75 項指標，結果於 116 年 4 月底前公布；116 年度指標已於 2026 年 10 月 30 日公布。下列指標除 S-7 外，兩年度文字相同。

指標內容（摘要）加分對應服務
S-7經董事會通過的誠信經營政策、專（兼）職單位、具體執行情形，至少一年一次向董事會報告（116 年度文字；115 年度分為 S-7、S-8）—ISO 37001
S-9在公司網站詳細揭露內、外部人員對不合法（包括貪汙）與不道德行為的檢舉制度—ISO 37001
S-13制定並揭露個人資料保護政策及實施情形—GDPR、ISO 27701
S-15供應商管理政策要求供應商在資通訊安全或隱私權保護等議題遵循規範—TISAX、NIS2
S-10與營運目標連結的智慧財產管理計畫及執行情形，至少一年一次向董事會報告導入 TIPS、ISO 56001 或類似標準並經第三方驗證，總分另加一分營業秘密保護
G-18由審計委員會或董事會層級功能性委員會督導風險管理，至少一年一次向董事會報告AA 題型，得分者總分另加一分ERM

S-9 的檢舉制度與 S-7 的專責單位，正是誠信經營守則第 17、23 條要求的事，通常落在法務或法遵單位。非公開發行公司不受評鑑，可自願參考指標內容。

10 項要求一覽

歐盟法規（5 項）

要求對法務長的意義有沒有證書
GDPR 與 ISO 27701罰鍰最高 2,000 萬歐元或全球年營業額 4%；歐盟客戶的處理者契約與跨境傳輸機制ISO 27701 有；GDPR 沒有官方證書
EU CRA誰是法定製造商、ODM 與 OEM 合約怎麼分責任；第 14 條通報義務自 2026 年 9 月 11 日起已適用沒有獨立證書，依產品類別完成符合性評估並標示 CE
EU AI Act 與 ISO 42001提供者或部署者的角色判定、AI 供應合約；罰鍰最高 3,500 萬歐元或全球年營業額 7%ISO 42001 有；不等於 EU AI Act 合規
NIS2受規範實體的管理機構責任；只是供應商時，要求透過客戶合約傳到你身上沒有
DORA服務歐盟金融實體的 ICT 供應商，要在合約中承接稽核權、資料可攜性、業務持續與退出策略條款沒有

管理系統與制度（5 項）

要求對法務長的意義有沒有證書
ISO 37001防賄程序的運作紀錄；代理商與客戶合約的反賄賂條款有，第三方驗證；不保證不發生賄賂
營業秘密保護提告時法院能否認定已採取合理保密措施；新進員工帶入他人秘密時的法人責任營業秘密法沒有證書
ERM（法遵風險）法遵風險放進同一張風險地圖，向董事會報告沒有
TISAX車廠評估供應商據點的資訊安全，常連同保密要求寫進合約評估與交換機制，不是 ISO 證書；結果以標籤共享，效期 3 年
ISO 27001客戶合約的資安條款、稽核權與事件責任，要有制度證據撐著有，第三方驗證

逐項說明：法務長要決定什麼、先做哪一項、要多久

每一項服務各有一頁，依你的角色逐題回答。

怎麼接上你現有的制度

新要求要融進既有的內控、誠信經營、風險管理與法令遵循制度，而不是另建一套。

既有制度與依據你已經有的新要求怎麼融進去
內控處理準則第 3 條以法令遵循為目標之一的內部控制與年度自評歐盟法規與各管理系統的義務，對到既有循環的控制點，納入自評與稽核計畫
誠信經營守則第 9 條交易對象評估與契約的誠信條款ISO 37001 的第三方盡職調查與反賄賂條款，併入同一套評估與合約範本
誠信經營守則第 17、23 條專責單位、每年向董事會報告、檢舉制度賄賂、營業秘密與個資的舉報與調查，併入同一個檢舉管道與調查程序
風險管理實務守則第 18 條法遵風險類別GDPR、NIS2、EU CRA、EU AI Act 的罰則與市場准入，收進同一張風險地圖
實施辦法第 16、17 條（銀行、金控）法令遵循專責單位、每半年報告與自行評估歐盟法規與 ISO 管理系統的遵循評估，併入既有的法令遵循自行評估與報告

上述規範適用於公開發行公司、上市櫃公司或銀行業與金控；非公開發行公司不受此規範，可以自願參考。各項做法見：ISO 37001、營業秘密保護制度輔導、GDPR、EU CRA、EU AI Act、ERM 制度輔導。

積穗科研的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

相關問題

申請免費機制診斷

合規要三者兼顧，顧問的價值在整合

CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。

面向要回答的問題只補這一塊時常見的缺口
流程（管理系統）誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善技術工具到位，但沒有人定期執行，稽核時拿不出紀錄
資安技術控制措施怎麼設計、怎麼驗證有效文件寫得完整，但系統實際上沒有做到
法遵適用哪條法規、角色是什麼、期限與罰則為何做了一套控制，卻對錯法規或角色，義務沒有涵蓋到

積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。

相關服務申請免費機制診斷

官方來源