保險業內部控制及稽核制度實施辦法 第 6-1 條

白話解讀

依據保險業內部控制及稽核制度實施辦法第6-1條的條文解釋如下： 1. 保險業應設置資訊安全專責單位及主管，並且不得同時兼任資訊或其他與職務有利益衝突的業務。同時，保險業應該配置適當的人力資源和設備來執行資訊安全事務。然而，如果主管機關對保險合作社有特別規定，則可根據該規定進行。 範例：一家保險公司在設置資訊安全專責單位時，應選擇專門從事資訊安全的專業人員並擔任主管，同時不得兼任其他與職務有利益衝突的業務，這樣才能確保資訊安全的執行。 2. 如果保險業的前一年度經會計師查核簽證的資產總額達到新臺幣一兆元以上，則該公司應該指派副總經理或職責相當的人兼任資訊安全長，負責規劃和推動資訊安全政策以及資源調配事務。同時，保險業應該設置具有獨立性的資訊安全專責單位，並且指派協理或職責相當的人擔任該單位的主管。 範例：一家保險公司在資產總額達到一兆元以上的情況下，應指派副總經理或職責相當的高階主管兼任資訊安全長，並設立獨立的資訊安全專責單位，由協理或職責相當的人擔任該單位的主管，以確保資訊安全的規劃和執行。 3. 保險業的資訊安全專責單位負責規劃、監控和執行資訊安全管理作業。每年，該單位應評估前一年度的資訊安全執行情況，並由資訊安全長（若無資訊安全長，由資訊安全專責單位主管）與相關人員一起簽署內部控制制度聲明書，並提交給董事會或理事會審核通過。 範例：一家保險公司的資訊安全專責單位每年都會評估前一年的資訊安全執行情況，並由資訊安全長或資訊安全專責單位主管與相關人員一起簽署內部控制制度聲明書，並提交給董事會或理事會進行審核。 4. 保險業的資訊安全專責單位人員每年至少應接受15小時以上的資訊安全專業課程培訓或職能訓練。同時，總機構、國內外營業單位、商品開發管理單位、資金運用單位、資訊單位、資產保管單位和其他管理單位的人員，每年至少應接受3小時以上的資訊安全宣導課程。 範例：一家保險公司的資訊安全專責單位人員每年至少應接受15小時以上的資訊安全專業課程培訓或職能訓練，以確保其具備資訊安全相關的專業知識和技能。同時，其他管理單位的人員每年至少應接受3小時以上的資訊安全宣導課程，以提高其對資訊安全的認知和意識。 5. 符合條件的保險業應在六個月內進行調整，以符合第二項規定。 範例：一家保險公司如果符合第二項規定的條件，則需在六個月內進行適應性調整，以符合該條款的要求。