法務長看 ERM：法遵風險怎麼進風險地圖、怎麼證明法遵制度有效？

法遵風險在 ERM 裡歸哪一類？法務長和風險管理推動單位怎麼分工？

分工框架：法務長擁有法遵風險的「內容」（法規、義務、罰則、案件），推動單位擁有「方法與報告」（評估尺度、風險地圖、彙整提報）。守則沒有風控長職稱，用語是風險管理推動與執行單位。內控處理準則適用公開發行公司，風險管理實務守則供上市上櫃公司參照；非公開發行公司不受此規範，可自願參考。

法規清冊怎麼變成風險地圖上的一格？可能性與衝擊怎麼評？

法規清冊只回答「有哪些法」，風險地圖要回答「哪一項最可能出事、出事多嚴重」。框架：

1. 適用判定：每項法規先判斷是否適用、適用哪個法人與哪條業務
2. 衝擊：以罰則上限作為衝擊的參考，再加上市場准入、客戶合約與商譽
3. 可能性：看控制現況、過去缺失與稽核發現
4. KRI：例如未完成評估的法規變動件數、逾期矯正件數

主管機關調查或訴訟進行中，風險登錄、財報與年報要怎麼說同一件事？

同一個案件會出現在三個地方，說法要一致：

• 風險登錄與董事會報告：案件狀態、可能結果區間與因應措施（守則第 15 條）。
• 財報：台灣公開發行公司的財報依金管會認可的 IFRS 編製。IAS 37 的判斷框架：是否有過去事件造成的現時義務、資源流出是否很有可能（可能性高於不可能）、金額能否可靠估計。三者成立認列負債準備；流出並非很有可能時屬或有負債，除非可能性極低，否則於附註揭露。
• 年報：年報準則第 20 條第六款要求分析國內外重要政策及法律變動對公司財務業務的影響及因應措施。

結論由簽證會計師與法律顧問依個案判斷；法務長要確保三處引用同一份案件評估。年報準則適用公開發行公司；非公開發行公司不受此規範，可自願參考。

法遵制度「有效」要怎麼證明？主管機關或檢察官會看什麼？

有制度文件或證書，不等於有效。兩個官方框架可以參考：

• 美國司法部刑事司《企業法遵計畫評估》（2024 年 9 月更新版）：檢察官問三個基本問題——計畫設計得好嗎？是否認真且善意地執行，也就是資源與授權是否足以有效運作？實際上有沒有用？並評估違法行為發生時與起訴決定時的計畫是否適當有效。
• 英國司法部《反賄賂法》指引：以六項原則說明「適當程序」，未指定特定管理系統；抗辯是否成立由法院個案判斷。
• ISO 37001 本身說明，符合標準不能保證不會發生賄賂。

法務長能準備的證據：法遵風險評估紀錄、資源與授權（人力、預算、向董事會報告的管道）、訓練與檢舉處理紀錄、稽核發現與矯正，以及制度依案件與法規變動調整的紀錄。

金控與銀行的法令遵循長和風險管理長怎麼分工？要向誰報告？

金控與銀行業依《金融控股公司及銀行業內部控制及稽核制度實施辦法》：

金管會《金融控股公司檢查手冊》也把「是否設立隸屬於總經理之法令遵循專責單位」列為檢查項目。分工框架：法令遵循單位負責法規辨識、遵循評估與訓練；風險管理單位把法遵風險與其他風險放進同一套胃納與報告，兩份報告引用同一份法規清冊與案件清單。

ESG 評鑑與董事會報告：法務長的法遵與誠信報告怎麼併進去？

ESG 評鑑對象是上市櫃公司；非公開發行公司不受此規範，可自願參考。三項併成同一份年度報告，董事會比較容易看到全貌，也避免三個單位各說各話。

積穗科研怎麼協助法務長處理 ERM？

• 一張風險地圖：以 COSO 五構面組織董事會報告、以 ISO 31000 流程統一方法，把資安、營運持續、AI、個資風險收進同一張風險地圖；每份交付文件對應守則條號與評鑑指標
• 動態風險登錄表：每季更新、KRI 自動預警、董事會可視化儀表板
• 證書的界線：ERM 不能驗證，ISO 31000 明載不作為驗證用途
• 時程（服務頁所列）：四階段通常 4–6 個月，第一次董事會報告通常在第 3 個月底
• 上線後：提供 90 天追蹤與年度檢討
• 誰主導：副總、董事級顧問全程親自輔導、不外包。具名客戶：臺灣證券交易所（內控制度與 ISO 9000、ISMS 整合）

深入：ERM 制度輔導、ERM 顧問怎麼選、ERM 預算與時程、ISO 37001 顧問怎麼選。申請免費機制診斷