发布文号: 金管银(二)字第0942000051号
第1条 本办法依银行法第四十五条之一第一项规定订定之。
第2条 银行应建立内部控制制度及内部稽核制度，并确保该制度得以持续有效执行，以促进银行健全发展，维护金融安定。
第3条 内部控制之基本目的在于促进银行健全经营，并应由其董(理)事会、管理阶层及所有从业人员共同遵行，以合理确保达成下列目标：
一、营运之效果及效率。
二、财务报导之可靠性。
三、相关法令之遵循。
前项第一款所称营运之效果及效率目标，包括获利、绩效及保障资产安全等目标。
第4条 银行之内部控制制度应包含下列各项原则：
一、管理阶层之监督及控制文化：董(理)事会应负责核准并定期复核整体经营策略与重大政策，董(理)事会对于确保建立并维持适当有效之内部控制制度负有最终之责任；高阶管理阶层应负责执行董(理)事会核定之经营策略与政策，发展足以辨识、衡量、监督及控制银行风险之程序，订定适当之内部控制政策及监督其有效性与适切性。
二、风险辨识与评估：有效之内部控制制度须可辨识并持续评估所有对银行目标之达成可能产生负面影响之重大风险，并决定如何因应相关风险，使其能被限制在可承受之范围内。
三、控制活动与职务分工：控制活动应是银行每日整体营运之一部分，应设立完善之控制架构，及订定各层级之内控程序；有效之内部控制制度应有适当之职务分工，且管理阶层及员工不应担任责任相互冲突之工作。
四、信息与沟通：应保有适切完整之财务、营运及遵循信息；信息应具备可靠性、及时性与容易取得之特性，并以一致性之格式提供，有效之内部控制制度应建立有效之沟通管道。
五、监督活动与更正缺失：银行内部控制整体之有效性应予持续监督，营业单位、内部稽核或其它内控人员发现之内部控制缺失均应实时向适当层级报告，若属重大之内部控制缺失应向高阶管理阶层及董(理)事会报告，并应立即采取改正措施。
第5条 银行之内部控制制度应涵盖所有营运活动，并应订定下列适当之政策及作业程序，且应适时检讨修订：
一、组织规程或管理章则，应包括订定明确之组织系统、部门职掌业务范围与明确之授权及分层负责办法。
二、相关业务规范及处理手册，包括：
(一)出纳、存汇、授信、外汇、信托、新种金融商品。
(二)投资准则及股权管理。
(三)客户资料保密。
(四)利害关系人交易规范。
(五)会计及财务报表编制流程、总务、信息、人事管理(含轮调及休假规定)。
(六)对外信息揭露作业管理。
(七)委外作业管理。
(八)其它业务之规范及作业程序。
前项各种作业及管理规章之订定、修订或废止，必要时应有遵守法令单位、内部稽核单位等相关单位之参与。
第6条 银行应建立遵守法令主管制度、风险管理机制、内部稽核制度、以及自行查核制度，以维持有效适当之内部控制制度运作。
第7条 银行内部控制制度，应经董(理)事会通过，如有董(理)事表示异议且有纪录或书面声明者，银行应将异议意见连同经董(理)事会通过之内部控制制度送各监察人(监事)；修正时，亦同。
银行已设置独立董事者，依前项规定将内部控制制度提报董事会讨论时，应充分考量各独立董事之意见，并将其同意或反对之明确意见及反对之理由列入董事会纪录。
第8条 银行为符合法令之遵循，应指定一隶属于董(理)事会或总经理之总行管理单位，负责遵守法令主管制度之规划、管理及执行，并指派高阶主管一人担任总机构遵守法令主管，综理法令遵循事务，至少每半年向董(理)事会及监察人(监事)报告。
银行总机构、国内外营业单位、信息单位、财务保管单位及其它管理单位应指派人员担任遵守法令主管，负责执行法令遵循事宜。
前项总机构遵守法令主管名单应以网际网络信息系统申报主管机关备查。
第9条 银行总、分支机构对法令遵循事宜，应建立咨询沟通管道，以有效传达法令，俾使行员对于法令之疑义得以迅速厘清，并落实法令遵循。
第10条 遵守法令单位应办理下列事项：
一、建立清楚适当之法令传达、咨询、协调与沟通系统。
二、确认各项作业及管理规章均配合相关法规适时更新，使各项营运活动符合法令规定。
三、订定法令遵循之评估内容与程序，并督导各单位定期自行评估执行情形。
四、对各单位人员施以适当合宜之法规训练。
五、督导海外分支机构遵守其所在地国家之法令。
法令遵循自行评估作业，每半年至少须办理一次，其办理结果应送遵守法令单位备查。各单位办理自行评估作业，应由该单位主管指定专人办理。
前项自行评估工作底稿及资料应至少保存五年。
第11条 银行应订定适当之风险管理政策与程序，建立独立有效风险管理机制，以评估及监督其风险承担能力、已承受风险现况、决定风险因应策略及风险管理程序遵循情形。
前项风险管理政策与程序应经董(理)事会通过并适时检讨修订。
第12条 银行应设置独立之专责风险控管单位，并定期向董(理)事会提出风险控管报告，若发现重大暴险，危及财务或业务状况或法令遵循者，应立即采取适当措施并向董(理)事会报告。
第13条 银行之风险控管机制应包括下列原则：
一、应依其业务规模、信用风险、市场风险与作业风险状况及未来营运趋势，监控资本适足性。
二、应建立衡量及监控流动性部位之管理机制，以衡量、监督、控管流动性风险。
三、应考量整体暴险、自有资本及负债特性进行各项资产配置，建立各项业务风险之管理。
四、应建立银行资产品质及分类之评估方法，计算及控管大额暴险，并定期检视，核实提列备抵损失。
五、应对银行业务或交易、信息交互运用等建立信息安全防护机制及紧急应变计画。
第14条 内部稽核制度之目的，在查核及评估内部控制制度是否有效运作，并适时提供改进建议，以确保内部控制制度得以持续有效实施，协助董(理)事会及管理阶层确实履行其责任。
第15条 银行应设立隶属董(理)事会之内部稽核单位，以独立超然之精神，执行稽核业务，并应至少每半年向董(理)事会及监察人(监事)报告。
银行应建立总稽核制，综理稽核业务。总稽核应具备领导及有效督导稽核工作之能力，其资格应符合银行负责人应具备资格条件准则规定，职位应等同于副总经理，且不得兼任与稽核工作有相互冲突或牵制之职务。
总稽核之聘任、解聘或调职，应经董(理)事会全体董(理)事三分之二以上之同意，并报请主管机关核准后为之。内部稽核单位之人事任用、免职、升迁、奖惩、轮调及考核等，应由总稽核签报，报经董(理)事长核定后办理。但涉及其它管理、营业单位人事者，应事先洽商人事单位转报总经理同意后，再行签报董(理)事长核定。
第16条 内部稽核人员执行业务应本诚实信用原则，并不得有下列情事：
一、明知银行之营运活动、财务报导及相关法令遵循情况有直接损害利害关系人之情事，而予以隐饰或作不实、不当之揭露。
二、逾越稽核职权范围以外之行为或有其它不正当情事，对于所取得之资讯，对外泄漏或为己图利或侵害银行之利益。
三、对于以前执行之业务或与自身有利害关系案件未予回避，而办理该等案件或业务之稽核工作。
四、收受行员或客户之不当招待或馈赠或其它不正当利益。
五、未配合办理主管机关指示查核事项或提供相关资料。
六、其它违反法令或经主管机关规定不得为之行为。
第17条 内部稽核单位应办理下列事项：
一、银行应规划内部稽核之组织、编制与职掌，并编撰内部稽核工作手册及工作底稿，其内容至少应包括对内部控制制度各项规定与业务流程进行评估，以判断现行规定、程序是否已具有适当之内部控制，管理单位与营业单位是否切实执行内部控制及执行内部控制之效益是否合理等，随时提出改进意见。
二、订定自行查核内容与程序，并督导各单位自行查核之执行情形。
三、拟定年度稽核计画，并依各单位业务风险特性及其内部稽核执行情形，订定对各单位之查核计画。
银行应先督促各单位办理自行查核，再由内部稽核单位复核各单位之自行查核报告，并同内部稽核单位所发现之内部控制缺失及异常事项改善情形，以作为董(理)事会、总经理、总稽核及遵守法令主管评估整体内部控制制度有效性及出具内部控制制度声明书之依据。
第18条 银行办理一般查核，其内部稽核报告内容应依受检单位之性质，分别应揭露下列项目：
一、查核范围、综合评述、财务状况、资本适足性、经营绩效、资产品质、法令遵循、内部控制、利害关系人交易、各项业务作业控制与内部管理、客户资料保密管理、信息管理、员工保密教育及自行查核办理情形，并加以评估。
二、营业单位对金融检查机关、会计师、内部稽核单位(含金融控股公司内部稽核单位)、自行查核人员所提列检查意见或查核缺失，及内部控制制度声明书所列应加强办理改善事项之未改善情形。
第19条 内部稽核单位对国内营业、财务保管及信息单位每年至少应办理一次一般查核及一次项目查核，对其他管理单位每年至少应办理一次项目查核；对各种作业中心及国外营业单位每年至少办理一次一般查核，对国外办事处之查核方式可以表报稽核替代或弹性调整实地查核频率。
银行内部稽核单位应将遵守法令主管制度之执行情形，并入对业务及管理单位之一般查核或项目查核办理。
第一项之内部稽核报告、工作底稿及相关资料应至少保存五年。
第20条 银行应依据营业单位之多寡及其业务量，配置适任及适当人数之专任内部稽核人员，并应包括计算机稽核人员，以超然独立、客观公正之立场，执行其职务。
银行内部稽核人员应具备下列条件：
一、具有二年以上之金融检查经验；或大专院校毕业、高等考试或相当于高等考试之考试及格并具有二年以上之金融业务经验；或具有五年以上之金融业务经验。曾任会计师事务所查帐员、计算机公司程序设计师或系统分析师等专业人员二年以上经验，经施以三个月以上之金融业务及管理训练，视同符合规定。
二、最近三年内应无记过以上之不良纪录，但其因他人违规或违法所致之连带处分，已功过相抵者，不在此限。
三、内部稽核人员充任领队时，应有三年以上之稽核或金融检查经验，或一年以上之稽核经验及五年以上之金融业务经验。
第21条 内部稽核单位之稽核人员、领队稽核人员及正副主管均应分别参加管机关指定机构所举办之稽核人员研习班或计算机稽核研习班、领队稽核研习班及稽核主管研习班一期次以上，其中新任稽核人员并应经前述训练机构考试及格且取得结业证书。
内部稽核人员每年应参加主管机关指定机构所举办或金融控股公司或稽核人员所属银行自行举办之金融相关业务专业训练达三十小时以上。
参加主管机关指定机构所举办之金融相关业务专业训练时数不得低于前项应达训练时数二分之一。
银行应订定自行查核训练计画，对于自行查核人员应持续施以适当查核训练。
第22条 银行应确认内部稽核人员之资格条件符合本办法规定，该等确认文件及纪录应建立专卷留存备查。
第23条 为加强银行内部牵制藉以防止弊端之发生，银行应建立自行查核制度。各银行营业、财务保管及信息单位应每半年至少办理一次一般自行查核，每月至少办理一次项目自行查核。但已办理一般自行查核、内部稽核单位或金融控股公司内部稽核单位已办理一般业务查核、金融检查机关已办理一般业务检查或遵守法令事项自行评估之月份，该月得免办理项目自行查核。
各银行营业、财务保管及信息单位办理自行查核，应由该单位主管指定非原经办人员办理并事先保密。
前项自行查核报告应作成工作底稿，并同自行查核报告及相关资料至少留存五年。
第24条 银行具有业务或交易核准权限之各级主管，应于就任前具备下列条件之一：
一、曾担任内部稽核单位之稽核人员实际办理内部稽核工作一年以上者。
二、参加主管机关指定机构所举办之稽核人员研习班或计算机稽核研习班，经前述训练机构考试及格且取得结业证书。
三、取得主管机关指定机构举办之银行内部控制与内部稽核测验考试合格证书，测验内容应比照前款研习与考试内容。
国外营业单位具有业务或交易核准权限之各级主管，得参加国外专业机构举办之稽核专业训练，或取得国外类似测验证书，以取代第一项所列条件。
首次担任银行国内营业单位之经理，除应符合第一项之规定外，其中符合第一项第二款或第三款者，并应于半年内参与内部稽核单位之查核实习四次以上，每次查核项目至少乙项，查核实习累计应至少查核四项以上，并应撰写实习查核心得报告，呈报总稽核核可后，由总稽核出具证明书并同留卷备查。
外国银行在台分行具有业务或交易核准权限之各级主管，业完成外国银行对该分行要求之内部稽核所提供之训练者，如其训练课程有不低于第一项之条件，得不适用本条之规定。
外国银行于本办法中华民国94年6月14日修正发布时已设立在台分行具有业务或交易核准权限之各级主管，应自中华民国94年6月14日修正发布之日起一年内具备第一项之资格或完成前项之训练。
第25条 银行年度财务报表由会计师办理查核签证时，应委托会计师办理银行内部控制制度之查核，并对银行申报主管机关表报资料正确性、内部控制制度及遵守法令主管制度执行情形、备抵呆帐提列政策之妥适性表示意见。
会计师之查核费用由银行与会计师自行议定，并由银行负担会计师之查核费用。
第26条 主管机关于必要时，得邀集银行及其委托之会计师就前条委托办理查核相关事宜进行讨论，主管机关若发现银行委托之会计师有未足以胜任委托查核工作之情事者，得令银行更换委托查核会计师重新办理查核工作。
第27条 会计师办理第二十五条规定之查核时，若遇下列情况应立即通报主管机关：
一、受查银行于查核过程中，未提供会计师所需要之报表、凭证、帐册及会议纪录或对会计师之询问事项拒绝提出说明，或受其它客观环境限制，致使会计师无法继续办理查核工作。
二、受查银行在会计或其它纪录有虚伪、造假或缺漏，情节重大者。
三、受查银行资产不足以抵偿负债或财务状况显著恶化。
四、有证据显示银行之交易对净资产有重大减损之虞。
银行有前项第二款至第四款情事者，会计师并应就查核结果先行向主管机关提出摘要报告。
第28条 银行委托会计师办理第二十五条规定之查核，应于每年四月底前出具上一年度会计师查核报告报主管机关备查，其查核报告至少应说明查核之范围、依据、查核程序及查核结果。
主管机关对于查核报告之内容提出询问时，会计师应翔实提供相关资料与说明。
第29条 银行应于内部控制制度中，订定对子公司必要之控制作业，并考量该子公司所在地政府法令之规定及实际营运之性质，督促其子公司建立内部控制制度。
银行之总稽核应定期对子公司内部稽核作业之成效加以考核，经报告董(理)事会考核结果后，将其结果送子公司董(理)事会作为人事考评之依据。
第30条 银行因内部管理不善、内部控制欠佳、内部稽核制度及遵守法令主管制度未落实、对金融检查机关检查意见覆查追踪之缺失改善办理情形或内部稽核单位(含金融控股公司内部稽核单位)对查核结果有隐匿未予揭露，而肇致重大弊端时，相关人员应负失职责任。另银行内部稽核人员发现重大弊端或疏失，并使银行免于重大损失，应予奖励。
银行管理单位及营业单位发生重大缺失或弊端时，内部稽核单位应有惩处建议权，并应于内部稽核报告中充分揭露对重大缺失应负责之失职人员。
第31条 内部稽核单位对金融检查机关、会计师、内部稽核单位(含金融控股公司内部稽核单位)与营业单位所提列检查意见或查核缺失，及内部控制制度声明书所列应加强办理改善事项，应持续追踪覆查，并将其追踪考核改善情形，以书面提报董(理)事会及交付监察人(监事)，并列为对管理单位及营业单位绩效考核之重要项目。
银行稽核工作考核要点，由主管机关定之。
第32条 银行总经理应督导各单位审慎评估及检讨内部控制制度执行情形，由董(理)事长、总经理、总稽核及总机构遵守法令主管联名出具内部控制制度声明书(附表)，并提报董(理)事会通过，于每会计年度终了后四个月内将内部控制制度声明书内容揭露于银行网站，并于主管机关指定网站办理公告申报。
前项内部控制度声明书应依规定刊登于年报、股票公开发行说明书及公开说明书。
第33条 内部稽核报告应交付监察人(监事)查阅，设有独立董事或审计委员会者应一并交付，并于查核结束日起二个月内函送主管机关。
第34条 银行应将内部稽核人员之姓名、年龄、学历、经历、服务年资及所受训练等资料，于每年一月底前依主管机关规定格式以网际网络信息系统申报主管机关备查。
第35条 银行内部稽核人员及遵守法令主管，对内部控制重大缺失或违法违规情事所提改进建议不为管理阶层采纳，将肇致银行重大损失者，均应立即作成报告陈核，并通知监察人(监事)及通报主管机关。
第36条 银行应于每会计年度终了前将次一年度稽核计画及每会计年度终了后二个月内将上一年度之年度稽核计画执行情形，依主管机关规定格式以网际网路信息系统申报主管机关备查。
第37条 银行应于每会计年度终了后五个月内将上一年度内部稽核所见内部控制制度缺失及异常事项改善情形，依主管机关规定格式以网际网络信息系统申报申报主管机关备查。
第38条 总稽核督导办理内部稽核工作有下列情形之一者，主管机关得视情节之轻重，予以纠正、命其限期改善或命令银行解除其总稽核职务：
一、有事实证明曾有从事不当放款案件或涉及严重违反授信原则或与客户不当资金往来之行为。
二、滥用职权，有事实证明从事不正当之活动，或假借权力，以图谋本身或他人之利益，或利用职务上机会，加损害于银行或他人。
三、未经主管机关同意，对执行职务无关之人员泄漏、交付或公开金融检查报告全部或其中任一部分内容。
四、银行因内部管理不善，发生重大舞弊案件，未通报主管机关。
五、对银行财务及业务有严重缺失，未于内部稽核报告揭露。
六、办理内部稽核工作，出具不实内部稽核报告。
七、银行因配置之内部稽核人员显有不足或不适任，未能发现财务及业务有严重缺失。
八、未配合主管机关指示事项办理查核工作或提供相关资料。
九、其它有损害银行信誉或利益之行为者。
第39条 银行应于内部控制制度中订定经理人及相关人员违反本办法或公司所订内部控制制度规定时之处罚。
银行应随时检查内部稽核人员有无违反第十六条之规定，如有违反规定者，应于发现之日起一个月内调整其职务。
银行依第三十四条规定申报内部稽核人员之基本资料时，应检查内部稽核人员是否符合第二十条及第二十一条规定，如有违反规定者，应于二个月内改善，若逾期未予改善，银行应立即调整其职务。
第40条 本办法规定格式，由主管机关另定之。
第41条 外国银行在台分行应依本办法之规定办理。但外国银行在台分行之内部控制及稽核制度，如依其总行所订之相关内部控制及稽核制度规定，有不低于本办法之规定者，得由外国银行在台分行提出总行制度之详细说明与我国制度之对照说明，经在台分行负责人签署后，报经主管机关备查，依该制度办理。
外国银行于本办法中华民国94年6月14日修正发布时已设立在台分行者，应自中华民国94年6月14日修正发布之日起六个月内依本办法规定办理或提出前项规定之说明报主管机关备查。
外国银行在台分行之总行对于其内部控制及稽核制度如有任何变更适用于在台分行者，应于变更后即刻提出对照说明，并经在台分行负责人签署后，报经主管机关备查。
外国银行在台分行违反主管机关依前三项规定认可之内部控制及稽核制度，视同违反本办法之规定。
第42条 本办法自发布日施行。
