金融控股公司及銀行業內部控制及稽核制度實施辦法第 二 章 內部控制制度之設計

1. 金融控股公司及銀行業應建立自行查核制度；法令遵循制度、風險管理制度及資訊安全制度；內部稽核制度等內部控制三道模型。
2. 前項三道模型之架構應使各單位瞭解其各自在機構整體風險及內部控制架構所擔任之職責與功能，三道各司其職，並加強執行內部控制工作之單位與內部稽核單位之溝通協調，以維持有效適當之內部控制制度運作。
3. 銀行內部控制三道模型實務守則之執行程序，由中華民國銀行商業同業公會全國聯合會訂定，並報主管機關備查。

1. 金融控股公司及銀行業之內部控制制度應包含下列組成要素： 一、控制環境：係金融控股公司及銀行業設計及執行內部控制制度之基礎。控制環境包括金融控股公司及銀行業之誠信與道德價值、董（理）事會及監察人（監事、監事會）或審計委員會治理監督責任、組織結構、權責分派、人力資源政策、績效衡量及獎懲等。董（理）事會與管理階層應落實公平待客原則，並建立誠信經營守則及內部行為準則，包括訂定董（理）事行為準則、員工行為準則。 二、風險評估：風險評估之先決條件為確立各項目標，並與金融控股公司及銀行業不同層級單位相連結，同時需考慮金融控股公司及銀行業目標之適合性。管理階層應考量金融控股公司及銀行業外部環境與商業模式改變之影響，以及可能發生之舞弊情事。其評估結果，可協助金融控股公司及銀行業及時設計、修正及執行必要之控制作業。 三、控制作業：係指金融控股公司及銀行業依據風險評估結果，採用適當政策與程序之行動，將風險控制在可承受範圍之內。控制作業之執行應包括金融控股公司及銀行業所有層級、業務流程內之各個階段、所有科技環境等範圍、對子公司之監督與管理、適當之職務分工，且管理階層及員工不應擔任責任相衝突之工作。 四、資訊與溝通：係指金融控股公司及銀行業蒐集、產生及使用來自內部與外部之攸關、具品質之資訊，以支持內部控制其他組成要素之持續運作，並確保資訊在金融控股公司及銀行業內部與外部之間皆能進行有效溝通。內部控制制度須具備產生規劃、執行、監督等所需資訊及提供資訊需求者適時取得資訊之機制，並保有完整之財務、營運及遵循資訊。有效之內部控制制度應建立有效之溝通管道。 五、監督作業：係指金融控股公司及銀行業進行持續性評估、個別評估或兩者併行，以確定內部控制制度之各組成要素是否已經存在及持續運作。持續性評估係指不同層級營運過程中之例行評估；個別評估係由內部稽核人員、監察人（監事、監事會）或審計委員會、董（理）事會等其他人員進行評估。對於所發現之內部控制制度缺失，應向適當層級之管理階層、董（理）事會及監察人（監事、監事會）或審計委員會溝通，並及時改善。
2. 金融控股公司應督導子公司之內部控制制度包含前項所定組成要素。

前條第一款之董（理）事行為準則至少應包括董（理）事發現金融控股公司及銀行業有受重大損害之虞時，應儘速妥適處理，立即通知審計委員會或審計委員會之獨立董事成員或監察人（監事、監事會）並提報董（理）事會，且應督導所屬金融控股公司及銀行業通報主管機關。

1. 內部控制制度應涵蓋所有營運活動，並應訂定下列適當之政策及作業程序，且應適時檢討修訂： 一、組織規程或管理章則，應包括訂定明確之組織系統、單位職掌、業務範圍與明確之授權及分層負責辦法。 二、相關規範及處理手冊，包括： （一）投資準則。 （二）客戶資料保密。 （三）利害關係人交易規範。 （四）股權管理。 （五）財務報表編製流程之管理，包括適用國際財務報導準則之管理、會計專業判斷程序、會計政策與估計變動之流程等。 （六）總務、資訊、人事管理（銀行業應含輪調及休假規定）。 （七）對外資訊揭露作業管理。 （八）金融檢查報告之管理。 （九）金融消費者保護之管理。 （十）重大偶發事件之處理機制。 （十一）防制洗錢及打擊資恐機制及相關法令之遵循管理，包括辨識、衡量、監控洗錢及資恐風險之管理機制。 （十二）永續資訊之管理。 （十三）營運持續管理機制。 （十四）其他業務之規範及作業程序。
2. 金融控股公司業務規範及處理手冊應另包括子公司之管理及共同行銷管理。
3. 銀行業務規範及處理手冊應另包括出納、存款、匯兌、授信、外匯、新種金融商品、委外作業管理、責任地圖制度及銀行法第三條所定業務等。
4. 信用合作社業務規範及處理手冊應另包括出納、存款、授信、匯兌、委外作業管理及信用合作社法第十五條所定業務等。
5. 票券商業務規範及處理手冊應另包括票券、債券、新種金融商品及票券金融管理法第二十一條所定業務等。
6. 信託業作業手冊之範本由信託業商業同業公會訂定，其內容應區分業務作業流程、會計作業流程、電腦作業規範、人事管理制度等項。信託業應參考範本訂定作業手冊，並配合法規、業務項目、作業流程等之變更，定期修訂。
7. 股票已在證券交易所上市或於證券商營業處所買賣之金融控股公司及銀行業，應將薪資報酬委員會運作之管理納入內部控制制度。
8. 金融控股公司及銀行業設置審計委員會者，其內部控制制度，應包括審計委員會議事運作之管理。
9. 金融控股公司及銀行業應於內部控制制度中，訂定對子公司必要之控制作業，其為國外子公司者，並應考量該子公司所在地政府法令之規定及實際營運之性質，督促其子公司建立內部控制制度。
10. 金融控股公司及銀行業應建立集團整體性防制洗錢及打擊資恐計畫，包括在符合國外分公司（或子公司）當地法令下，以防制洗錢及打擊資恐為目的之集團內資訊分享政策及程序。
11. 前十項各種作業及管理規章之訂定、修訂或廢止，必要時應有法令遵循、風險管理、資訊安全等專責單位及內部稽核單位等相關單位之參與。

1. 金融控股公司及銀行業應建立檢舉制度，並於總機構指定具獨立行使職權之單位負責檢舉案件之受理及調查，以促進健全經營。
2. 金融控股公司及銀行業對檢舉人應為下列之保護： 一、檢舉人之身分資料應予保密，不得洩漏足以識別其身分之資訊。 二、不得因所檢舉案件而對檢舉人予以解僱、解任、降調、減薪、損害其依法令、契約或習慣上所應享有之權益，或其他不利處分。
3. 檢舉案件之受理及調查過程，有利益衝突之人，應予迴避。
4. 第一項檢舉制度，至少應包括下列事項，並提報董（理）事會通過： 一、揭示任何人發現有犯罪、舞弊或違反法令之虞時，均得提出檢舉。 二、受理之檢舉案件類型。 三、設置並公布檢舉之管道。 四、調查與配合調查之流程、迴避規定及後續處理機制之標準作業程序。 五、檢舉人保護措施。 六、檢舉案件受理、調查過程、調查結果與相關文件製作之紀錄及保存。 七、檢舉案件之處理情形，應適度以書面或其他方式通知檢舉人。
5. 被檢舉人為董（理）事、監察人（監事）或職責相當於副總經理以上之管理階層者，調查報告應陳報至監察人（監事、監事會）或審計委員會複審。
6. 金融控股公司及銀行業調查後發現為重大偶發事件或違法案件，應主動向相關機關通報或告發。
7. 金融控股公司及銀行業應定期對所屬人員，辦理檢舉制度之宣導及教育訓練。