七大核心服務

企業風險管理（ERM）能不能「認證」？不能——ISO 31000 明載不作為驗證用途，COSO ERM 則是框架。上市櫃公司真正需要的，是董事會看得懂、稽核查得到的制度：風險胃納說清楚、風險評估有方法、KRI 監控有節奏。積穗以 ISO 31000 × COSO ERM 2017，協助企業從動態風險登錄表建置到 KRI 監控儀表板，因應舞弊舉報、資安勒索、供應鏈中斷、商譽崩盤、上市治理評鑑失分五大災難場景。由副總級顧問領軍、台科大產學合作支援，協助上市公司與製造業通過治理評鑑、客戶盡職調查與融資審查。

EU AI Act 經 Reg (EU) 2026/1744 修正後，高風險義務延至 2027-12-02（Annex III）與 2028-08-02（Annex I），但眼前的期限是 2026-12-02：既有生成式 AI 系統須完成機器可讀標記（Art. 111(4)）；Art. 50 透明度義務則已在適用中。積穗以 ISO/IEC 42001 建置可驗證的 AI 管理系統，同步對應台灣《人工智慧基本法》（2026-01-14 公布施行），因應演算法偏見歧視、EU AI Act 罰鍰（Art. 99：禁止性實踐最高全球年營收 7%，透明度等義務最高 3%）、AI 系統失效法律責任三大災難場景。由副總級顧問領軍、台科大產學合作支援，20+ 家客戶、99% 第一次即通過。

營業秘密不必登記，但要受法律保護，營業秘密法第 2 條列出三要件：非一般人所知、具經濟價值、所有人已採取合理之保密措施。積穗以 TIPS 建立機密分級、存取控管與離職前稽核，並以 ISO 56001:2024（可驗證的創新管理系統要求標準）讓研發成果持續轉化為價值，因應核心技術外流、營業秘密訴訟舉證不能、跨國 IP 侵權、商標遭搶註、AI 訓練資料未經授權使用五大災難場景。由副總級顧問在嚴格保密協議下執行、台科大產學支援，20+ 家客戶、99% 第一次即通過。

還沒做 ISO 27001，可以先做隱私管理系統嗎？自 2025 年 10 月 ISO/IEC 27701 第二版起可以——它已改為獨立的要求標準，企業可以單獨導入並驗證個人資訊管理系統（PIMS）。積穗提供 ISO 27701 與 GDPR／台灣《個人資料保護法》雙軌合規輔導，為 TWISA 台灣資訊安全協會團體會員，因應 GDPR 最高全球年營收 4% 罰款（Meta 12 億歐元前例）、台灣個資法第 48 條最高新臺幣 1,500 萬元（2025-11-11 再修正、施行日由行政院定，主管機關將改為個人資料保護委員會）、跨境傳輸違規、個資外洩 72 小時通報失誤、AI 處理個資未做 DPIA 五大災難場景。由副總級顧問執行、台科大產學支援，20+ 家客戶、99% 第一次即通過。已持 2019 版證書者，轉版期限請以驗證機構公告為準。

RTO 是多久要恢復、RPO 是最多能丟失多少資料——兩個數字都應由業務衝擊分析（BIA）推導，而不是事先拍板。ISO 22301 是業務持續管理系統（BCMS）的可驗證標準，現行版本為 2019 版加上 2024 年第 1 號修正（組織須判定氣候變遷是否為相關議題）；第 3 版目前在委員會草案（CD）階段、尚無出版日，現在導入仍以 2019 版為驗證依據。積穗從 BIA 推導 RTO／RPO，建立 BCP 與 DRP 並規劃年度演練，因應勒索軟體致產線停擺、地震颱風斷鏈、地緣政治禁運、關鍵零件斷供、雲端服務故障五大災難場景。由副總級顧問執行、台科大產學支援，20+ 家客戶、99% 第一次即通過。

TISAX 不是 ISO 證書，而是車用產業的資安評估與交換機制：由 ENX 核准的稽核服務商依 VDA ISA 問卷評估，通過後以標籤形式在 ENX 平台與客戶共享，效期最長三年。VDA ISA2027 已於 2026-07-01 發布，2027-01-01 起委託的評估一律適用，2026 年底前委託者仍可採 ISA6。積穗整合 TISAX × ISO/SAE 21434 × UN R155，協助 OEM 與 Tier 1／2 供應商完成 VDA ISA 自評、差距分析、資安控制建置與模擬稽核。積穗是輔導顧問，不是發證機構。

CRA（Reg (EU) 2024/2847）全面適用在 2027-12-11，但 Art. 14 通報義務已自 2026-09-11 起適用：受積極利用的漏洞與影響產品安全的嚴重事故，須經 ENISA 單一通報平台 24 小時預警、72 小時通報，並涵蓋已在歐盟上市的產品。歐盟數位法規彼此互認：符合 CRA Art. 12 者，視為符合 AI Act Art. 15 的資安要求；DORA 則為 NIS2 的特別法。積穗以這套互認關係規劃一次到位的法遵路徑，現正輔導 4 家 CRA 客戶。