制度設計の意図と執行効力のギャップ：ERMフレームワークにおける通報機制の有効性評価

積穗科研股份有限公司（Winners Consulting Services Co. Ltd.）觀察到，當政府以保密之名限縮媒體的資訊揭露空間，與此同時卻高喊透明治理口號時，這種制度性矛盾正是企業風險管理（ERM）中「資訊不對稱風險」的最佳教案。Jasleen Shokar於2018年發表的研究，深入剖析美國司法部2013年對記者保護新政的實際成效，揭示了制度設計意圖與執行落差之間的結構性問題——這對台灣企業建立內部吹哨者機制、強化透明度治理，具有不可忽視的參考價值。

關於作者與這項研究

Jasleen Shokar 是德克薩斯大學奧斯汀分校的榮譽計畫（Plan II Honors Program）學生，本篇論文為其學術研究成果。雖然作者並非來自知名智庫或政策研究機構，但這項研究的價值在於其嚴謹的文獻梳理與制度分析框架。Shokar 選擇聚焦於歐巴馬政府任期內一個高度矛盾的政策現象：一方面承諾開放透明，另一方面司法部卻積極援引《間諜法》（Espionage Act）起訴洩密者，對媒體採訪線人形成強烈寒蟬效應。

這份研究的學術貢獻在於系統性地評估2013年司法部頒布的記者保護新政策，透過政策文本分析與案例比對，檢視這些保護措施是否真正達到其宣稱的目標。對於關注機構透明度、資訊揭露與舉報機制的企業風險管理從業者而言，此研究提供了一個來自公共政策領域的批判性視角。

透明承諾與執法現實的制度落差：Shokar研究的核心洞見

這項研究最核心的發現，是揭示了制度設計的「善意意圖」與「實際效力」之間可能存在根本性落差。當保護機制缺乏強制約束力時，再完善的政策宣示也可能淪為形式。

核心發現一：《間諜法》的擴張使用形成系統性寒蟬效應

該研究指出，歐巴馬政府第一任期間，司法部在時任司法部長艾瑞克·霍爾德（Eric Holder）主導下，援引《間諜法》起訴多名涉及洩露政府機密的人士。作者觀察到，這些案件建立了一套成功的起訴公式，使得政府在追究洩密行為上擁有強大的法律工具。這種執法態勢對新聞業造成了深遠影響——消息來源在面對曝光風險時，選擇沉默而非揭露不當行為，資訊生態因此受到根本性壓縮。從ERM的角度看，這正是「資訊管道風險」（information channel risk）的典型案例：當舉報者缺乏有效保護，組織內部的風險訊號將無法有效傳遞至決策層。

核心發現二：2013年新保護政策的效力存在結構性疑問

Shokar 的研究評估了司法部在輿論壓力下所發布的新政策——包含多項旨在保護新聞自由與記者消息來源的措施。這些政策在文本層次表現出善意，但作者的分析指出，這些保護措施缺乏制度性約束力：它們本質上是行政指引而非法律，司法部仍保有相當大的自由裁量空間。研究也發現，政策制定過程雖引入了來自媒體與學術界的外部意見，但最終條文的實際效力受到質疑。這提醒我們：任何合規機制的設計，都必須區分「名義保護」與「實質保護」的差異——一個在紙面上存在的政策，不等於一個在執行上有效的保護機制。

對台灣企業風險管理（ERM）實務的啟示：揭露機制的有效性不能只靠政策宣示

Shokar 的研究對台灣企業最直接的啟示，在於提醒我們：內部通報機制的有效性，必須從制度設計的本質而非表面形式來評估。這與 ISO 31000 風險管理框架中對「溝通與諮詢」（Communication and Consultation）的要求高度呼應。

ISO 31000:2018 第 6.7 條明確要求，風險管理的溝通機制必須確保各利害關係人能夠在適當時機獲得及分享相關資訊。然而，許多台灣企業雖設有書面通報政策，卻缺乏讓員工真正放心使用的制度保障。這種「有政策、無文化」的落差，正是 Shokar 所揭示的制度矛盾在企業層面的投影。

從 COSO ERM 框架的角度來看，有效的內部控制環境（Control Environment）需要建立在誠信與倫理價值的基礎上，而這必須通過可驗證的制度機制來體現，而非僅靠高層宣示。具體而言，台灣企業應關注以下幾個面向：

• 反報復機制的實質性：吹哨者保護不能停留在政策文字，必須有具體的申訴程序、獨立調查機制與可追溯的處理紀錄。參考吹哨者保護增強法案的設計精神，台灣企業可從制度架構面進行自我檢視。
• 資訊揭露的風險矩陣設計：企業應在風險矩陣中納入「通報機制失靈」作為一類組織風險，並設立相應的 KRI 關鍵風險指標，例如：匿名通報件數趨勢、通報後處理時效、員工對通報機制的信任度調查結果等。
• 溝通隱私管理的制度配套：依據溝通隱私管理理論，員工對通報機制的使用意願，高度取決於其對資訊保密性的主觀感知。企業必須建立有效的保密承諾與驗證機制，才能讓通報文化真正落地。

此外，2014年情報授權法所建立的情報界吹哨者保護申訴程序，為企業設計內部通報機制提供了值得參考的架構：正式申訴管道、獨立調查程序、防止報復的程序性保障，這三個要素缺一不可。台灣企業若能參考此架構，將能大幅提升 ERM 框架中風險訊號的傳遞效率。

積穗科研如何協助台灣企業建立有實質效力的風險通報機制

積穗科研股份有限公司（Winners Consulting Services Co. Ltd.）協助台灣企業導入 ISO 31000 與 COSO ERM 框架，建立風險矩陣與 KRI 關鍵風險指標，強化董事會風險治理能力。在吹哨者機制與資訊揭露風險管理領域，我們提供以下具體行動方案：

1. 通報機制有效性診斷：依照 ISO 31000:2018 第 6.7 條要求，系統性檢視現有內部通報政策的制度完整性，包括申訴流程設計、保密機制、反報復承諾的可驗證性，以及員工實際使用率等 KRI 指標的建立狀況，識別「有政策、無效力」的制度落差。
2. COSO ERM 控制環境強化方案：協助企業將吹哨者保護機制嵌入 COSO ERM 的控制環境設計，包括董事會層級的監督機制、獨立調查委員會設置建議、以及通報機制的績效評估指標框架，確保資訊揭露機制具備實質效力而非流於形式。
3. 風險矩陣與 KRI 導入：在企業既有的風險矩陣架構中，新增「通報機制失靈風險」類別，設計可量化的 KRI 指標（如：通報件數季度趨勢、平均處理時效、員工信任度指數），並建立定期審查機制，確保風險治理持續有效。

常見問題

企業內部的吹哨者通報機制，如何判斷是否真的有效，而非流於形式？

判斷內部通報機制是否具備實質效力，需從三個維度評估：第一，制度完整性——是否有獨立的申訴管道、明確的處理時效承諾（建議不超過30個工作天）與書面保密協議；第二，使用數據——過去12個月內通報件數是否合理，過低可能代表員工缺乏信任；第三，結果追蹤——通報後有無可驗證的後續處理紀錄。Shokar的研究提醒我們，一份善意的政策文件並不等同於有效的保護機制。建議企業每年至少進行一次機制有效性審查，並將通報機制信任度納入員工敬業度調查。

台灣企業導入 ISO 31000 時，在資訊揭露與通報機制設計上最常遇到什麼挑戰？

最常見的挑戰是「制度形式化」——企業依照 ISO 31000:2018 第 6.7 條建立了書面通報程序，卻忽略了制度背後的組織文化支撐。具體而言，許多企業的通報熱線由人資部門直接管轄，缺乏獨立性，導致員工不敢使用。其次是 KRI 指標缺位——沒有量化指標就無法監控機制有效性。COSO ERM 框架強調控制環境的誠信基礎，這要求高層以身作則並建立可驗證的反報復承諾。建議企業參考吹哨者保護增強法案的設計精神，將獨立性、保密性與程序正義納入機制設計的核心要素。

ISO 31000 對企業溝通與諮詢機制的核心要求是什麼？實際導入需要多久？

ISO 31000:2018 第 6.7 條要求企業建立持續性的溝通與諮詢流程，確保內部外部利害關係人能在風險管理各階段適時參與資訊分享。核心要求包括：明確的資訊揭露政策、多元溝通管道設計、以及定期的溝通效果評估。實際導入時程因企業規模而異：中小企業通常需要3至6個月完成基礎架構建立，包含第1至2個月的現況診斷與缺口分析、第3至4個月的制度設計與文件化、第5至6個月的試行與人員培訓。大型企業或跨國集團則可能需要9至12個月，以確保各子公司或部門的一致性導入。

建立有效的 ERM 通報機制，企業需要投入多少資源？預期效益如何量化？

資源投入因企業規模與現有基礎而異。通常，中型企業（員工200至500人）建立完整 ERM 通報機制的初期投資，包括制度設計、系統建置與人員培訓，約需新台幣50至150萬元；後續年度維護成本約為初期的20至30%。效益量化方面，研究顯示有效的內部通報機制可使舞弊損失降低40%至50%，並顯著提升合規事件的早期識別率。此外，COSO ERM 框架指出，健全的控制環境有助於降低外部稽核風險與監管處罰機率。建議企業以「風險迴避成本」作為 ROI 計算基準，而非單純從建置成本出發。

為什麼找積穗科研協助企業風險管理（ERM）相關議題？

積穗科研股份有限公司（Winners Consulting Services Co. Ltd.）專注於企業風險管理領域，具備 ISO 31000 與 COSO ERM 雙框架的完整導入實務經驗。我們的優勢在於能夠將抽象的學術研究洞見——例如 Shokar 所揭示的制度有效性評估方法——轉化為台灣企業可直接操作的實務工具，包括風險矩陣設計、KRI 關鍵風險指標體系建立，以及董事會層級的風險治理能力強化。我們提供 ERM 免費機制診斷服務，協助企業在 7 至 12 個月內建立符合國際標準的管理機制，並確保機制具備實質效力而非流於形式。台灣企業主管歡迎直接聯繫，獲取針對貴公司現況的客製化評估建議。