发布文号: 金管银(六)字第0946000054号
第1条 本办法依金融控股公司法(以下简称本法)第五十一条规定订定之。
第2条 金融控股公司内部控制制度及内部稽核制度，依本办法之规定；本办法未规定者，依其它相关法令之规定。
第3条 金融控股公司应建立内部控制制度及内部稽核制度，并确保持续有效执行，以健全金融控股公司及其子公司经营，并保障投资，维护金融安定。
第4条 内部控制之基本目的在于促进金融控股公司健全经营，并应由其董事会、管理阶层及所有从业人员共同遵行，以合理确保达成下列目标：
一、营运之效果及效率。
二、财务报导之可靠性。
三、相关法令之遵循。前项第一款所称营运之效果及效率目标，包括获利、绩效及保障资产安全等目标。
第5条 金融控股公司应规划金融控股公司及其子公司整体经营策略、风险管理政策与指导准则，由金融控股公司及其子公司分别据以拟定经营计画、风险管理程序及执行准则。
第6条 金融控股公司内部控制制度应包括下列原则：
一、管理阶层之监督与控制文化：董事会应负责核准并定期复核整体经营策略与重大政策，并对确保建立维持适当有效之内部控制制度负有最终之责任；高阶管理阶层应负责执行董事会核定之经营策略与政策，发展足以辨识、衡量、监督及控制金融控股公司及其子公司风险之程序，订定适当之内部控制政策及监督其有效性与适切性。
二、风险辨识与评估：有效之内部控制制度需可辨识，并持续评估对金融控股公司及其子公司整体目标之达成可能产生负面影响之重大风险，并决定如何因应相关风险，使其能被限制在可承受之范围内。
三、控制活动与职务分工：控制活动应是金融控股公司每日整体营运之一部分，应设立完善之控制架构，及订定各层级之内控程序；有效之内部控制应有适当之职务分工，管理阶层及员工应避免担任责任相互冲突之工作。
四、信息与沟通：金融控股公司应保有完整之财务、营运及遵循法令信息；信息应具备可靠性、及时性与容易取得之特性，并应建立有效之沟通管道。
五、监督活动与导正措施：金融控股公司应持续监督内部控制之有效性；其发现之内部控制缺失应实时向适当层级报告；若属金融控股公司及其子公司发生之重大内部控制缺失应立即向高阶管理阶层及董事会报告，并应迅速采取改正措施。
第7条 金融控股公司之内部控制制度应涵盖金融控股公司之营运活动，并应订定下列适当之政策及作业程序，且应适时检讨修订：
一、组织规程或公司章则，包括明确之组织系统、单位职掌、业务范围、授权及分层负责办法。
二、相关业务规范及处理手册，包括：
(一)投资准则。
(二)子公司管理。
(三)共同行销管理。
(四)客户资料保密。
(五)利害关系人交易规范。
(六)股权管理。
(七)会计暨财务报表编制流程、总务、信息、人事管理。
(八)对外信息揭露作业管理。
(九)其它业务之规范及作业程序。前项各种作业及管理规章之修订，必要时应有遵守法令单位、内部稽核单位等相关单位之参与。
第8条 金融控股公司内部控制制度，应经董事会通过，如有董事表示异议且有纪录或书面声明者，公司应将异议意见连同经董事会通过之内部控制制度送各监察人；修正时，亦同。金融控股公司已设置独立董事者，依前项规定将内部控制制度提报董事会讨论时，应充分考量各独立董事之意见，并将其同意或反对之明确意见及反对之理由列入董事会纪录。
第9条 金融控股公司为符合法令之遵循，应建立遵守法令主管制度，指定一隶属于董事会或总经理之单位，负责制度之规划、管理及执行，并指派高阶主管一人担任遵守法令主管，综理法令遵循事务，至少每半年向董事会及监察人报告。前项遵守法令主管名单应以网际网络信息系统申报主管机关备查。
第10条 遵守法令单位应办理下列事项：
一、建立清楚适当之法令传达、咨询、协调与沟通系统。
二、确认各项作业及管理规章均配合相关法规适时更新，使各项营运活动符合法令规定。
三、订定法令遵循之自行查核及评估内容与程序，并督导各单位定期自行查核执行情形。
四、对各单位人员施以适当合宜之法规训练。金融控股公司自行查核法令遵循作业，每半年至少须办理一次，其办理结果应送遵守法令单位备查。各单位办理自行查核作业，应由该单位主管指定专人办理。
第11条 金融控股公司应订定适当之风险管理政策与程序，建立独立有效风险管理机制，以评估及监督金融控股公司及其子公司之风险承担能力、已承受风险现况、决定风险因应策略及风险管理程序遵循情形。前项风险管理政策与程序应经董事会通过并适时检讨修订。
第12条 金融控股公司应设置独立之专责风险控管单位，并定期向董事会提出风险控管报告，若发现重大暴险，危及财务或业务状况或法令遵循者，应立即采取适当措施并向董事会报告。
第13条 金融控股公司之风险控管机制应包括下列事项：
一、依金融控股公司及其子公司业务规模、信用风险、市场风险与作业风险状况及未来营运趋势，监控金融控股公司及其子公司资本适足性。
二、订定适当之长短期资金调度原则及管理规范，建立衡量及监控金融控股公司及其子公司流动性部位之管理机制，以衡量、监督、控管金融控股公司及其子公司之流动性风险。
三、考量金融控股公司整体暴险、自有资本及负债特性进行各项投资配置，建立各项投资风险之管理。
四、建立金融控股公司及其各子公司一致性资产品质及分类之评估方法，计算及控管金融控股公司及其子公司之大额暴险，并定期检视，核实提列备抵损失或准备。
五、对金融控股公司与其子公司及各子公司间业务或交易、信息交互运用等建立信息安全防护机制及紧急应变计画。
第14条 内部稽核制度之目的，在查核及评估内部控制制度是否有效运作及衡量营运之效率，并适时提供改进建议，以确保内部控制制度得以持续有效实施，协助董事会及管理阶层确实履行其责任。
第15条 金融控股公司应设置隶属董事会之内部稽核单位，并订定内部稽核之组织、编制与职掌，建立总稽核制，以独立超然之精神，综理稽核业务，至少每半年向董事会及监察人报告。
第16条 内部稽核单位应办理下列事项：
一、编撰内部稽核工作手册及工作底稿，其内容至少应包括对内部控制制度各项规定与业务流程进行评估，以判断现行规定、程序是否已具有适当之内部控制，各单位是否切实执行内部控制及执行内部控制之效益是否合理等，随时提出改进意见。
二、订定内部控制制度之自行查核及评估内容与程序，并督导各单位定期自行查核执行情形。
三、拟定年度稽核计画，并依子公司业务风险特性及其内部稽核执行情形，订定对子公司之查核计画。金融控股公司自行查核内部控制制度，应先督促其内部各单位及子公司每年至少须办理一次自行查核，再由内部稽核单位复核各单位及子公司之自行查核报告，并同内部稽核单位所发现之内部控制缺失及异常事项改善情形，以作为董事会、总经理、总稽核及遵守法令主管评估整体内部控制制度有效性及出具内部控制制度声明书之依据。
第17条 总稽核应具备领导及有效督导内部稽核工作之能力，其资格应符合本法第十七条第一项所称金融控股公司之发起人、负责人范围及其应具备之资格条件准则之授权规定，职位应等同于副总经理，且不得兼任与稽核工作有相互冲突或牵制之职务。总稽核之聘任、解聘或调职，应经董事会全体董事三分之二以上之同意，并应报经主管机关核准后为之。内部稽核单位之人事任用、免职、升迁、奖惩、轮调及考核等，应由总稽核签报，报经董事长核定后办理。但涉及其它管理单位人事者，应事先洽商人事单位转报总经理同意后，再行签报董事长核定。金融控股公司总稽核得视业务需要，调动各子公司之内部稽核人员办理金融控股公司及其子公司之内部稽核工作，并对确保金融控股公司及其子公司维持适当有效之内部稽核制度负最终之责任。
第18条 金融控股公司应依投资规模、业务情况、管理需要及其它相关法令之规定，配置适任及适当人数之专任内部稽核人员，以超然独立、客观公正之立场，执行其职务。
第19条 金融控股公司内部稽核人员应具备下列条件：
一、具有二年以上之金融检查经验；或大专院校毕业、高等考试或相当于高等考试之考试及格并具有二年以上之金融业务经验；或具有五年以上之金融业务经验。曾任会计师事务所查帐员、计算机公司程序设计师或系统分析师等专业人员二年以上经验，经施以三个月以上之金融业务及管理训练，视同符合规定。
二、最近三年内无记过以上之不良纪录，但其因他人违规或违法所致之连带处分，已功过相抵者，不在此限。
三、内部稽核人员充任领队时，应有三年以上之稽核或金融检查经验，或
一年以上之稽核经验及五年以上之金融业务经验。
第20条 金融控股公司内部稽核人员每年应参加主管机关指定机构所举办或所属公司或其子公司自行举办之金融相关业务专业训练达三十小时以上，以提升稽核品质及能力。参加主管机关指定机构所举办之金融相关业务专业训练时数不得低于前项应达训练时数二分之一。
第21条 金融控股公司内部稽核人员执行业务应本诚实信用原则，并不得有下列情事：
一、明知公司之营运活动、财务报导及相关法令遵循情况有直接损害利害关系人之情事，而予以隐饰或作不实、不当之揭露。
二、逾越稽核职权范围以外之行为或有其它不正当情事，对于所取得之资讯，对外泄漏或为己图利或侵害公司之利益。
三、对于以前执行之业务或与自身有利害关系案件未予回避，而办理该等案件或业务之稽核工作。
四、收受不当招待或馈赠或其它不正当利益。
五、未配合办理主管机关指示查核事项或提供相关资料。
六、其它违反法令或经本会规定不得为之行为。
第22条 金融控股公司应确认内部稽核人员之资格条件符合本办法规定，该等确认文件及纪录应建立专卷留存备查。
第23条 金融控股公司每年至少应办理一次一般业务查核，每半年至少应对金融控股公司及其所有子公司之财务、风险管理及法令遵循办理一次项目业务查核，并作成内部稽核报告。金融控股公司办理前项一般业务查核，如已涵盖金融控股公司及其所有子公司之财务、风险管理及法令遵循等项目业务查核之项目及范围，且查核结果无重大缺失事项并于内部稽核报告叙明者，该半年度得免办理项目业务查核。金融控股公司内部稽核报告应交付监察人查阅，并于查核结束日起二个月内函送主管机关。
第24条 金融控股公司办理一般业务查核，其内部稽核报告内容至少应揭露下列项目：
一、查核范围、综合评述、投资业务、股权管理、财务状况、资本适足性、资产品质、重要法令规章之遵循、内部控制、利害关系人交易、金融控股公司所有子公司对同一人或同一关系人或同一关系企业授信、背书或其它交易风险之控管、共同行销与客户资料保密管理、信息管理等。
二、金融检查机关及内部稽核单位所提列之检查意见或查核缺失，及内部控制制度声明书所列应加强办理改善事项之未改善事项办理情形。
第25条 金融控股公司之子公司，应向金融控股公司呈报董事会议纪录、会计师查核报告、金融检查机关检查报告或其它有关资料，已设置内部稽核单位之子公司，并应将稽核计画、内部稽核报告所提重大缺失事项及改善办理情形并同陈报，由金融控股公司予以审核，并督导子公司改善办理。金融控股公司之总稽核应定期对前项子公司内部稽核作业之成效加以考核，经报告董事会考核结果后，将其结果送子公司董事会作为人事考评之依据。
第26条 金融控股公司内部稽核单位对金融检查机关、会计师、内部稽核单位所提列检查意见或查核缺失，及内部控制制度声明书所列应加强办理改善事项，应持续追踪覆查，并将其缺失改善办理情形，以书面提报董事会及交付监察人，并列为对相关单位绩效考核之重要项目。
第27条 金融控股公司因内部管理不善、内部控制欠佳、内部稽核制度及遵守法令主管制度未落实、对金融检查机关检查意见覆查追踪之缺失改善办理情形或内部稽核单位对查核结果有隐匿未予揭露，而肇致重大弊端时，相关人员应负失职责任，并作为主管机关审核金融控股公司及其子公司申请案件之参考。金融控股公司内部稽核人员发现重大弊端或疏失，并使金融控股公司免于重大损失者，金融控股公司应予奖励。金融控股公司发生重大缺失或弊端时，内部稽核单位应有惩处建议权，并应于内部稽核报告中充分揭露对重大缺失应负责之失职人员。
第28条 金融控股公司依第十条第二项办理自行查核法令遵循作业、第十六条第二项办理自行查核内部控制制度及第二十三条第一项办理一般业务及项目业务查核，均应作成工作底稿，并同自行查核报告或内部稽核报告及相关资料应至少保存五年。
第29条 金融控股公司应审慎评估、检讨内部控制制度设计及执行之有效性，依自行查核结果及内部稽核报告，由董事长、总经理、总稽核及遵守法令主管联名出具内部控制制度声明书(附表)，提报董事会通过，于每会计年度终了后四个月内将内部控制制度声明书内容揭露于金融控股公司网站并于主管机关指定网站办理公告申报。前项内部控制制度声明书应依规定刊登于年报、股票公开发行说明书及公开说明书。
第30条 金融控股公司内部稽核人员及遵守法令主管，对内部控制重大缺失或违法违规情事所提改进建议不为管理阶层采纳，将肇致金融控股公司重大损失者，均应立即作成报告陈核，并通知监察人及通报主管机关。
第31条 第二十三条第三项及第三十条规定，于金融控股公司设有独立董事或审计委员会者，准用之。
第32条 金融控股公司应将内部稽核人员之姓名、年龄、学历、经历、服务年资及所受训练等资料，于每年一月底前依规定格式以网际网络信息系统申报主管机关备查。
第33条 金融控股公司应于每会计年度终了前将次一年度稽核计画及每会计年度终了后二个月内将上一年度之年度稽核计画执行情形，依规定格式以网际网路信息系统申报主管机关备查。
第34条 金融控股公司应于每会计年度终了后五个月内将上一年度内部稽核发现之内部控制制度缺失及异常事项改善情形，依规定格式以网际网络信息系统申报主管机关备查。
第35条 总稽核督导办理内部稽核工作有下列情形之一者，主管机关得视情节之轻重，予以纠正、命其限期改善或命令金融控股公司解除其总稽核职务：
一、有事实证明曾从事不当放款案件或涉及严重违反授信原则或与客户不当资金往来之行为。
二、滥用职权，有事实证明从事不正当之活动，或假借权力，以图谋本身或他人之利益。
三、未经主管机关同意，对执行职务无关之人员泄漏、交付或公开金融检查报告全部或其中任一部分内容。
四、金融控股公司因内部管理不善，发生重大舞弊案件，未通报主管机关。
五、对金融控股公司财务及业务有严重缺失，未于内部稽核报告揭露。
六、办理内部稽核工作，出具不实内部稽核报告。七、金融控股公司因配置之内部稽核人员显有不足或不适任，未能发现财务及业务有严重缺失。八、未配合主管机关指示事项办理查核工作或提供相关资料。九、其它有损害金融控股公司信誉或利益之行为。
第36条 金融控股公司应于内部控制制度中订定经理人及相关人员违反本办法或公司所订内部控制制度规定时之处罚。金融控股公司应随时检查内部稽核人员有无违反第二十一条之规定，如有违反规定者，应于发现之日起一个月内调整其职务。金融控股公司依第三十二条规定申报内部稽核人员之基本资料时，应检查内部稽核人员是否符合第十九条及第二十条规定，如有违反规定者，应于二个月内改善，若逾期未予改善，金融控股公司应立即调整其职务。
第37条 本办法规定格式，由主管机关另定之。
第38条 本办法自发布日施行。
