金融控股公司及銀行業內部控制及稽核制度實施 辦法
第一章 總則
第 一 條 本辦法依金融控股公司法第五十一條、銀行法第四十 五條之一第一項、信用合作社法第二十一條第一項、票券 金融管理法第四十三條及信託業法第四十二條第三項規 定訂定之。
第 二 條 本辦法所稱銀行業，包括銀行、信用合作社、票券商 及信託業。
銀行業以外之金融業兼營票券業務及信託業務者，其 內部控制及內部稽核制度，除其他法令另有規定外，應依 本辦法辦理。
第 三 條 金融控股公司及銀行業應建立內部控制制度，並確保 該制度得以持續有效執行，以健全金融控股公司（含子公 司）與銀行業經營。
金融控股公司（含子公司）與銀行業應規劃整體經營 策略、風險管理政策與指導準則，並擬定經營計畫、風險 管理程序及執行準則。
第 四 條 內部控制之基本目的在於促進金融控股公司及銀行 業健全經營，並應由其董 (理) 事會、管理階層及所有從 業人員共同遵行，以合理確保達成下列目標：
一、營運之效果及效率。
二、財務報導之可靠性。
三、相關法令之遵循。
前項第一款所稱營運之效果及效率目標，包括獲利、
績效及保障資產安全等目標。
第一項第二款所稱財務報導之可靠性目標，包括確保 對外之財務報表係依照一般公認會計原則編製，交易經適 當核准等目標。
第 五 條 金融控股公司及銀行業之內部控制制度，應經董(理) 事會通過，如有董(理)事表示反對意見或保留意見者，應
將其意見及理由於董（理）事會議紀錄載明，連同經董 (理) 事會通過之內部控制制度送各監察人 (監事、監事 會)或審計委員會；修正時，亦同。
第二章 內部控制制度之設計及執行
第 六 條 金融控股公司及銀行業應建立內部稽核制度、自行查 核制度、法令遵循主管制度、以及風險管理機制，以維持 有效適當之內部控制制度運作。
第 七 條 金融控股公司（含子公司）與銀行業之內部控制制度 應包含下列各項原則：
一、管理階層之監督及控制文化：董 (理) 事會應負 責核准並定期覆核整體經營策略與重大政策，董 (理) 事會對於確保建立並維持適當有效之內部 控制制度負有最終之責任；高階管理階層應負責 執行董 (理) 事會核定之經營策略與政策，發展 足以辨識、衡量、監督及控制風險之程序，訂定 適當之內部控制政策及監督其有效性與適切性。
二、風險辨識與評估：有效之內部控制制度須可辨識 並持續評估整體目標之達成可能產生負面影響 之重大風險，並決定如何因應相關風險，使其能 被限制在可承受之範圍內。
三、控制活動與職務分工：控制活動應為每日整體營 運之一部分，並設立完善之控制架構，及訂定各 層級之內控程序；有效之內部控制制度應有適當 之職務分工，且管理階層及員工不應擔任責任相 互衝突之工作。
四、資訊與溝通：金融控股公司及其子公司與銀行業 應保有完整之財務、營運及遵循資訊；資訊應具 備可靠性、及時性與容易取得之特性，並以一致 性之格式提供，有效之內部控制制度應建立有效 之溝通管道。
五、監督活動與更正缺失：應持續監督內部控制整體
之有效性，管理、營業單位、內部稽核或其他內 控人員發現之內部控制缺失均應即時向適當層級 報告，若屬重大之內部控制缺失應向高階管理階 層及董 (理) 事會報告，並應立即採取改正措施。
第 八 條 內部控制制度應涵蓋所有營運活動，並應訂定下列適 當之政策及作業程序，且應適時檢討修訂：
一、組織規程或管理章則，應包括訂定明確之組織系 統、單位職掌、業務範圍與明確之授權及分層負 責辦法。
二、相關業務規範及處理手冊，包括：
(一) 投資準則。
(二) 客戶資料保密。
(三) 利害關係人交易規範。
(四) 股權管理。
(五) 會計暨財務報表編製流程、總務、資訊、人 事管理（銀行業應含輪調及休假規定）。 (六) 對外資訊揭露作業管理。
(七) 金融檢查報告之管理。
(八) 其他業務之規範及作業程序。
金融控股公司業務規範及處理手冊應另包括子公司 之管理及共同行銷管理。
銀行業務規範及處理手冊應另包括出納、存款、匯 兌、授信、外匯、新種金融商品及委外作業管理。
信用合作社業務規範及處理手冊應另包括出納、存 款、授信、匯兌及委外作業管理。
票券商業務規範及處理手冊應另包括票券、債券及新 種金融商品等業務。
信託業作業手冊之範本由信託業商業同業公會訂 定，其內容應區分業務作業流程、會計作業流程、電腦作 業規範、人事管理制度等項。信託業應參考範本訂定作業 手冊，並配合法規、業務項目、作業流程等之變更，定期
修訂。
金融控股公司及銀行業應於內部控制制度中，訂定對 子公司必要之控制作業，其為國外子公司者，並應考量該 子公司所在地政府法令之規定及實際營運之性質，督促其 子公司建立內部控制制度。
前七項各種作業及管理規章之訂定、修訂或廢止，必 要時應有法令遵循、內部稽核及風險管理單位等相關單位 之參與。
第三章 內部控制制度之查核 第一節 內部稽核
第 九 條 內部稽核制度之目的，在於協助董 (理) 事會及管理 階層查核及評估內部控制制度是否有效運作，並適時提供 改進建議，以合理確保內部控制制度得以持續有效實施及 作為檢討修正內部控制制度之依據。
第 十 條 金融控股公司及銀行業應設立隸屬董(理)事會之內 部稽核單位，以獨立超然之精神，執行稽核業務，並應至 少每半年向董(理)事會及監察人(監事、監事會) 或審計 委員會報告稽核業務。
金融控股公司及銀行業應建立總稽核制，綜理稽核業 務。總稽核應具備領導及有效督導稽核工作之能力，其資 格應符合各業別負責人應具備資格條件規定，職位應等同 於副總經理，且不得兼任與稽核工作有相互衝突或牽制之 職務。
總稽核之聘任、解聘或調職，應經董 (理) 事會全體 董 (理) 事三分之二以上之同意，並報請主管機關核准後 為之。內部稽核單位之人事任用、免職、升遷、獎懲、輪 調及考核等，應由總稽核簽報，報經董 (理) 事長(主席) 核定後辦理。但涉及其他管理、營業單位人事者，應事先 洽商人事單位轉報總經理同意後，再行簽報董 (理) 事長 (主席)核定。
銀行業以外之金融業兼營信託業務者，不適用本條第
一項至第三項之規定。
金融控股公司總稽核得視業務需要，調動各子公司之 內部稽核人員辦理金融控股公司及其子公司之內部稽核 工作，並對確保金融控股公司及其子公司維持適當有效之 內部稽核制度負最終之責任。
第 十一 條 總稽核有下列情形之一者，主管機關得視情節之輕 重，予以糾正、命其限期改善或命令金融控股公司或銀行 業解除其總稽核職務：
一、有事實證明曾有從事不當授信案件或涉及嚴重違 反授信原則或與客戶不當資金往來之行為。
二、濫用職權，有事實證明從事不正當之活動，或意 圖為自己或第三人不法之利益，或圖謀損害所屬 金融控股公司（含子公司）或銀行業之利益，而 為違背其職務之行為，致生損害於所屬金融控股 公司及其子公司或銀行業或第三人。
三、未經主管機關同意，對執行職務無關之人員洩 漏、交付或公開金融檢查報告全部或其中任一部 分內容。
四、因所屬金融控股公司（含子公司）或銀行業內部 管理不善，發生重大舞弊案件，未通報主管機關。
五、對所屬金融控股公司（含子公司）或銀行業財務 與業務之嚴重缺失，未於內部稽核報告揭露。
六、辦理內部稽核工作，出具不實內部稽核報告。
七、因所屬金融控股公司（含子公司）或銀行業配置 之內部稽核人員顯有不足或不適任，未能發現財 務及業務有嚴重缺失。
八、未配合主管機關指示事項辦理查核工作或提供相 關資料。
九、其他有損害所屬金融控股公司（含子公司）或銀 行業信譽或利益之行為者。
第 十二 條 金融控股公司及銀行業應依據投資規模、業務情況
(分支機構之多寡及其業務量)、管理需要及其他相關法令 之規定，配置適任及適當人數之專任內部稽核人員，以超 然獨立、客觀公正之立場，執行其職務。
金融控股公司及銀行業內部稽核人員應具備下列條 件：
一、具有二年以上之金融檢查經驗；或大專院校畢 業、高等考試或相當於高等考試、國際內部稽核 師之考試及格並具有二年以上之金融業務經 驗；或具有五年以上之金融業務經驗。曾任會計 師事務所查帳員、電腦公司程式設計師或系統分 析師等專業人員二年以上，經施以三個月以上之 金融業務及管理訓練，視同符合規定，惟其員額 不得逾稽核人員總員額之三分之一。
二、最近三年內應無記過以上之不良紀錄，但其因他 人違規或違法所致之連帶處分，已功過相抵者，
不在此限。
三、內部稽核人員充任領隊時，應有三年以上之稽核 或金融檢查經驗，或一年以上之稽核經驗及五年 以上之金融業務經驗。
金融控股公司及銀行業應隨時檢查內部稽核人員有 無違反前二項之規定，如有違反規定者，應於發現之日起 二個月內改善，若逾期未予改善，應立即調整其職務。
第 十三 條 內部稽核人員執行業務應本誠實信用原則，並不得有 下列情事：
一、明知所屬金融控股公司(含子公司)或銀行業之營 運活動、財務報導及相關法令遵循情況有直接損 害利害關係人之情事，而予以隱飾或作不實、不 當之揭露。
二、逾越稽核職權範圍以外之行為或有其他不正當情 事，對於所取得之資訊，對外洩漏或為己圖利或 侵害所屬金融控股公司(含子公司)或銀行業之
利益。
三、因職務上之廢弛，致有損及所屬金融控股公司(含 子公司)或銀行業或利害關係人之權益等情事。
四、對於以前曾服務之部門，於一年內進行稽核作業。
五、對於以前執行之業務或與自身有利害關係案件未 予迴避，而辦理該等案件或業務之稽核工作。
六、收受所屬金融控股公司(含子公司)或銀行業從業 人員或客戶之不當招待或餽贈或其他不正當利 益。
七、未配合辦理主管機關指示查核事項或提供相關資 料。
八、其他違反法令或經主管機關規定不得為之行為。
金融控股公司及銀行業應隨時檢查內部稽核人員有 無違反前項之規定，如有違反規定者，應於發現之日起一 個月內調整其職務。
第 十四 條 內部稽核單位應辦理下列事項：
一、規劃內部稽核之組織、編制與職掌，並編撰內部 稽核工作手冊及工作底稿，其內容至少應包括對 內部控制制度各項規定與業務流程進行評估，以 判斷現行規定、程序是否已具有適當之內部控 制，管理單位與營業單位是否切實執行內部控制 及執行內部控制之效益是否合理等，並隨時提出 改進意見。
二、訂定自行查核內容與程序，並督導各單位自行查 核之執行情形。
三、擬訂年度稽核計畫，並依子公司或各單位業務風 險特性及其內部稽核執行情形，訂定對子公司或 各單位之查核計畫。
金融控股公司及銀行業應督促各單位(金融控股公司 含子公司)辦理自行查核，並由內部稽核單位覆核各單位 (金融控股公司含子公司)之內部控制制度自行查核報
告，併同內部稽核單位所發現之內部控制缺失及異常事項 改善情形，以作為董 (理) 事會、總經理、總稽核及法令 遵循主管評估整體內部控制制度有效性及出具內部控制 制度聲明書之依據。
第 十五 條 銀行業內部稽核單位對國內營業、財務、資產保管及 資訊單位每年至少應辦理一次一般查核及一次專案查 核，對其他管理單位每年至少應辦理一次專案查核；對各 種作業中心、國外營業單位及國外子行每年至少辦理一次 一般查核；對國外辦事處之查核方式可以表報稽核替代或 彈性調整實地查核頻率。
銀行業稽核單位應將營業單位辦理信託業務、財富管 理及金融商品銷售業務有無不當行銷、商品內容是否充分 揭露、相關風險是否充分告知、契約是否公平及其他依法 令或自律規範應負之義務之執行情形，併入對營業單位之 ㄧ般查核或專案查核辦理。
金融控股公司內部稽核單位每年至少應辦理一次一 般業務查核；每半年至少應對金融控股公司之財務、風險 管理及法令遵循辦理一次專案業務查核；另辦理一般業務 查核如已涵蓋專案業務查核之項目及範圍，且查核結果無 重大缺失事項並於內部稽核報告敘明者，該半年度得免辦 理專案業務查核。
內部稽核單位應將法令遵循主管制度之執行情形，併 入對業務及管理單位之一般查核或專案查核辦理。
第 十六 條 金融控股公司及銀行業應依子公司業務風險特性及 其內部稽核執行情形，於年度稽核計畫中訂定對子公司之 查核計畫。
金融控股公司及銀行業除銀行業之國外子行及其他 經主管機關核准者外，其內部稽核單位應每半年對子公司 之財務、風險管理及法令遵循辦理一次專案業務查核，並 納入年度稽核計畫。
金融控股公司及銀行業之子公司，應向母公司呈報董
(理)事會議紀錄、會計師查核報告、金融檢查機關檢查報 告或其他有關資料，已設置內部稽核單位之子公司，並應 將稽核計畫、內部稽核報告所提重大缺失事項及改善辦理 情形併同陳報，由母公司予以審核，並督導子公司改善辦 理。
金融控股公司及銀行業總稽核應定期對子公司內部 稽核作業之成效加以考核，經報告董 (理) 事會考核結果 後，將其結果送子公司董 (理) 事會作為人事考評之依 據。
第 十七 條 內部稽核單位辦理一般查核，其內部稽核報告內容應 依受檢單位之性質，分別應揭露下列項目：
一、查核範圍、綜合評述、財務狀況、資本適足性、
經營績效、資產品質、股權管理、董(理)事會議 事運作之管理、法令遵循、內部控制、利害關係 人交易、各項業務作業控制與內部管理、客戶資 料保密管理、資訊管理、員工保密教育、消費者 及投資人權益保護措施及自行查核辦理情形，並 加以評估。
二、對各單位發生重大違法、缺失或弊端之檢查意見 及對失職人員之懲處建議。
三、金融檢查機關、會計師、內部稽核單位 (含母公 司內部稽核單位) 、自行查核人員所提列檢查意 見或查核缺失，及內部控制制度聲明書所列應加 強辦理改善事項之未改善情形。
前項之內部稽核報告、工作底稿及相關資料應至少保 存五年。
第 十八 條 金融控股公司及銀行業因內部管理不善、內部控制欠 佳、內部稽核制度及法令遵循主管制度未落實、對金融檢 查機關檢查意見覆查追蹤之缺失改善辦理情形或內部稽 核單位 (含母公司內部稽核單位) 對查核結果有隱匿未 予揭露，而肇致重大弊端時，相關人員應負失職責任。內
部稽核人員發現重大弊端或疏失，並使所屬金融控股公司 (含子公司)或銀行業免於重大損失，應予獎勵。
金融控股公司及銀行業管理單位及營業單位發生重 大缺失或弊端時，內部稽核單位應有懲處建議權，並應於 內部稽核報告中充分揭露對重大缺失應負責之失職人員。
第 十九 條 金融控股公司及銀行業應將內部稽核報告交付監察 人 (監事、監事會) 或審計委員會查閱，並於查核結束日 起二個月內函送主管機關，設有獨立董事者，應一併交付。
第 二十 條 內部稽核單位之稽核人員於充任前均應分別參加主 管機關認定機構所舉辦之下列訓練，並取得結業證書：
一、初任稽核人員應參加稽核人員研習班、電腦稽核 研習班或票券稽核研習班六十小時以上課程，並 經考試及格且取得結業證書。
二、領隊稽核人員應參加領隊稽核研習班十九小時以 上課程。
三、總稽核及正副主管應參加稽核主管研習班十二小 時以上課程。
內部稽核人員(含正副主管及總稽核)每年應參加主 管機關認定機構所舉辦或稽核人員所屬金融控股公司(含 子公司)或銀行業機構(含母公司)自行舉辦之金融相關業 務專業訓練，其最低訓練時數，正副主管及總稽核應達二 十小時以上，其餘內部稽核人員應達三十小時以上。當年 度取得國際內部稽核師證照者，得抵免當年度之訓練時 數。
參加主管機關認定機構所舉辦之金融相關業務專業 訓練時數不得低於前項應達訓練時數二分之一。
派駐國外之稽核人員，得以參加符合當地法令規定所 設立之金融專業訓練機構之訓練課程時數進行認定。
金融控股公司及銀行業應每年訂定自行查核訓練計 畫，依各單位之業務性質對於自行查核人員應持續施以適 當查核訓練。
金融控股公司及銀行業應確認內部稽核人員之資格 條件符合本辦法規定，該等確認文件及紀錄應建立專卷留 存備查。
第二十一條 金融控股公司及銀行業應將內部稽核人員之姓名、年 齡、學歷、經歷、服務年資及所受訓練等資料，於每年一 月底前依主管機關規定格式以網際網路資訊系統申報主 管機關備查。
金融控股公司及銀行業依前項規定申報內部稽核人 員之基本資料時，應檢查內部稽核人員是否符合第十二條 第二項及第二十條規定，如有違反者，應於二個月內改 善，若逾期未予改善，應立即調整其職務。
第二十二條 金融控股公司及銀行業應於每會計年度終了前將次 一年度稽核計畫及每會計年度終了後二個月內將上一年 度之年度稽核計畫執行情形，依主管機關規定格式以網際 網路資訊系統申報主管機關備查。
金融控股公司及銀行業應於每會計年度終了前將次 一年度稽核計畫以書面交付監察人（監事、監事會）或審 計委員會核議，並作成紀錄，如未設審計委員會者，並應 先送獨立董事表示意見。
前項提交稽核計畫內容至少應包括：計畫編列說明、
年度稽核重點項目、計畫受檢單位、查核性質（一般檢查 或專案檢查）、查核頻次與主管機關規定是否相符等，如 查核性質屬專案檢查者，應註明專案查核範圍。
第二十三條 金融控股公司及銀行業應於每會計年度終了後五個 月內將上一年度內部稽核單位就內部控制制度缺失及異 常事項所提之查核意見及改善情形，依主管機關規定格式 以網際網路資訊系統申報主管機關備查。
第二十四條 銀行業具有業務或交易核准權限之各級主管，應於就 任前具備下列條件之一：
一、曾擔任內部稽核單位之稽核人員實際辦理內部稽 核工作一年以上者。
二、參加主管機關認定機構所舉辦之稽核人員研習班 或電腦稽核研習班，經前述訓練機構考試及格且 取得結業證書。
三、取得主管機關認定機構舉辦之銀行內部控制與內 部稽核測驗考試合格證書，測驗內容應比照前款 研習與考試內容。
國外營業單位具有業務或交易核准權限之各級主 管，得參加國外專業機構舉辦之稽核專業訓練，或取得國 外類似測驗證書，以取代第一項所列條件。
首次擔任國內營業單位之經理，除應符合第一項之規 定外，其中符合第一項第二款或第三款者，並應於就任前 或就任後半年內參與內部稽核單位之查核實習四次以 上，每次查核項目至少乙項，查核實習累計應至少查核四 項以上，並應撰寫實習查核心得報告，呈報總稽核核可 後，由總稽核出具證明書併同留卷備查。
外國銀行在台分行具有業務或交易核准權限之各級 主管，業完成外國銀行對該分行要求之內部稽核所提供之 訓練者，如其訓練課程有不低於第一項之條件，得不適用 本條之規定。
第二節 自行查核檢查及內部控制制度聲明書
第二十五條 銀行業應建立自行查核制度。各營業、財務、資產保 管、資訊單位及國外營業單位應每半年至少辦理一次一般 自行查核，每月至少辦理一次專案自行查核。但已辦理一 般自行查核、內部稽核單位(含母公司內部稽核單位)已辦 理一般業務查核、金融檢查機關已辦理一般業務檢查或法 令遵循事項自行評估之月份，該月得免辦理專案自行查 核。
金融控股公司各單位及子公司每年至少須辦理一次 內部控制制度自行查核，以及每半年至少須辦理一次法令 遵循作業自行查核。
各單位辦理前二項之自行查核，應由該單位主管指定
非原經辦人員辦理並事先保密。
第一項及第二項自行查核報告應作成工作底稿，併同 自行查核報告及相關資料至少留存五年備查。
第二十六條 內部稽核單位對金融檢查機關、會計師、內部稽核單 位 (含母公司內部稽核單位) 與內部單位自行查核所提 列檢查意見或查核缺失及內部控制制度聲明書所列應加 強辦理改善事項，應持續追蹤覆查，並將其追蹤考核改善 情形，以書面提報董 (理) 事會及交付監察人 (監事、監 事會) 或審計委員會，並列為對各單位獎懲及績效考核之 重要項目。
金融控股公司及銀行業稽核工作考核要點，由主管機 關定之。
第二十七條 金融控股公司及銀行業總經理應督導各單位(金融控 股公司含子公司)審慎評估及檢討內部控制制度執行情 形，由董（理）事長（主席）、總經理、總稽核及總機構 法令遵循主管聯名出具內部控制制度聲明書（附表），並 提報董（理）事會通過，於每會計年度終了後四個月內將 內部控制制度聲明書內容揭露於金融控股公司及銀行業 網站，並於主管機關指定網站辦理公告申報。
前項內部控制制度聲明書應依規定刊登於年報、股票 公開發行說明書及公開說明書。
第一項規定對於經主管機關依法接管之銀行業，不適 用之。
第三節 會計師對銀行業之查核
第二十八條 銀行業年度財務報表由會計師辦理查核簽證時，應委 託會計師辦理內部控制制度之查核，並對銀行業申報主管 機關表報資料正確性、內部控制制度及法令遵循主管制度 執行情形、備抵呆帳提列政策之妥適性表示意見。
會計師之查核費用由銀行業與會計師自行議定，並由 銀行業負擔會計師之查核費用。
第一項規定對於經主管機關依法接管之銀行業，不適
用之。
第二十九條 主管機關於必要時，得邀集銀行業及其委託之會計師 就前條委託辦理查核相關事宜進行討論，主管機關若發現 銀行業委託之會計師有未足以勝任委託查核工作之情事 者，得令銀行業更換委託查核會計師重新辦理查核工作。
第 三十 條 會計師辦理第二十八條規定之查核時，若遇受查銀行 業有下列情況應立即通報主管機關：
一、查核過程中，未提供會計師所需要之報表、憑證、
帳冊及會議紀錄或對會計師之詢問事項拒絕提 出說明，或受其他客觀環境限制，致使會計師無 法繼續辦理查核工作。
二、在會計或其他紀錄有虛偽、造假或缺漏，情節重 大者。
三、資產不足以抵償負債或財務狀況顯著惡化。
四、有證據顯示交易對淨資產有重大減損之虞。
受查銀行業有前項第二款至第四款情事者，會計師並 應就查核結果先行向主管機關提出摘要報告。
第三十一條 銀行業委託會計師辦理第二十八條規定之查核，應於 每年四月底前出具上一年度會計師查核報告報主管機關 備查，其查核報告至少應說明查核之範圍、依據、查核程 序及查核結果。
信用合作社依前項規定辦理時，應由直轄市政府財政 局或縣 (市) 政府申報轉呈。
主管機關對於查核報告之內容提出詢問時，會計師應 詳實提供相關資料與說明。
第四節 法令遵循制度
第三十二條 金融控股公司及銀行業為符合法令之遵循，應指定一 隸屬於總經理之總行管理單位，負責法令遵循主管制度之 規劃、管理及執行，並指派高階主管一人擔任總機構法令 遵循主管，綜理法令遵循事務，至少每半年向董 (理) 事 會及監察人 (監事、監事會) 或審計委員會報告。
金融控股公司及銀行業總機構、國內外營業單位、資 訊單位、財務保管單位及其他管理單位應指派人員擔任法 令遵循主管，負責執行法令遵循事宜。
總稽核、稽核單位主管及內部稽核人員，除負責執行 所屬單位之法令遵循事宜外，不得兼任本條第一項及第二 項所定之法令遵循主管。
金融控股公司及銀行業總機構法令遵循主管名單，應 以網際網路資訊系統申報主管機關。
第三十三條 銀行業總、分支機構對法令遵循事宜，應建立諮詢溝 通管道，以有效傳達法令，俾使職員對於法令之疑義得以 迅速釐清，並落實法令遵循。
第三十四條 法令遵循單位應辦理下列事項：
一、建立清楚適當之法令傳達、諮詢、協調與溝通系 統。
二、確認各項作業及管理規章均配合相關法規適時更 新，使各項營運活動符合法令規定。
三、訂定法令遵循之評估內容與程序，並督導各單位 定期自行評估執行情形。
四、對各單位人員施以適當合宜之法規訓練。
銀行業設有國外分支機構者，法令遵循單位應督導國 外分支機構遵守其所在地國家之法令。
法令遵循自行評估作業，每半年至少須辦理一次，其 辦理結果應送法令遵循單位備查。各單位辦理自行評估作 業，應由該單位主管指定專人辦理。
前項自行評估工作底稿及資料應至少保存五年。
第五節 風險管理機制
第三十五條 金融控股公司及銀行業應訂定適當之風險管理政策 與程序，建立獨立有效風險管理機制，以評估及監督整體 風險承擔能力、已承受風險現況、決定風險因應策略及風 險管理程序遵循情形。
前項風險管理政策與程序應經董 (理) 事會通過並
適時檢討修訂。
第三十六條 金融控股公司及銀行業應設置獨立之專責風險控管 單位，並定期向董 (理) 事會提出風險控管報告，若發現 重大暴險，危及財務或業務狀況或法令遵循者，應立即採 取適當措施並向董 (理) 事會報告。
前項獨立專責風險控管單位之設置，信用合作社得指 定一總社管理單位替代。
第三十七條 金融控股公司之風險控管機制應包括下列事項：
一、依金融控股公司及其子公司業務規模、信用風 險、市場風險與作業風險狀況及未來營運趨勢，
監控金融控股公司及其子公司資本適足性。
二、訂定適當之長短期資金調度原則及管理規範，建 立衡量及監控金融控股公司及其子公司流動性 部位之管理機制，以衡量、監督、控管金融控股 公司及其子公司之流動性風險。
三、考量金融控股公司整體暴險、自有資本及負債特 性進行各項投資配置，建立各項投資風險之管 理。
四、建立金融控股公司及其各子公司一致性資產品質 及分類之評估方法，計算及控管金融控股公司及 其子公司之大額暴險，並定期檢視，覈實提列備 抵損失或準備。
五、對金融控股公司與其子公司及各子公司間業務或 交易、資訊交互運用等建立資訊安全防護機制及 緊急應變計畫。
第三十八條 銀行業之風險控管機制應包括下列原則：
一、應依其業務規模、信用風險、市場風險與作業風 險狀況及未來營運趨勢，監控資本適足性。
二、應建立衡量及監控流動性部位之管理機制，以衡 量、監督、控管流動性風險。
三、應考量整體暴險、自有資本及負債特性進行各項
資產配置，建立各項業務風險之管理。
四、應建立資產品質及分類之評估方法，計算及控管 大額暴險，並定期檢視，覈實提列備抵損失。
五、應對業務或交易、資訊交互運用等建立資訊安全 防護機制及緊急應變計畫。
第四章 附則
第三十九條 金融控股公司及銀行業應確保金融檢查報告之機密 性，其負責人或職員除依法令或經主管機關同意者外，不 得閱覽或對執行職務無關之人員洩漏、交付或公開與金融 檢查報告全部或部分內容。
金融控股公司及銀行業應依主管機關之規定，制定金 融檢查報告之相關內部管理規範及作業程序，並提報董
（理）事會通過。
第 四十 條 金融控股公司及銀行業應於內部控制制度中訂定經 理人及相關人員違反本辦法或其所訂內部控制制度規定 時之處罰。
第四十一條 本辦法所稱金融控股公司之子公司，應依金融控股公 司法第四條規定認定；銀行業之子公司應依公開發行公司 建立內部控制制度處理準則第五條第三項規定認定。
第四十二條 內部稽核人員及法令遵循主管，對內部控制重大缺失 或違法違規情事所提改進建議不為管理階層採納，將肇致 所屬金融控股公司(含子公司)或銀行業重大損失者，均應 立即作成報告陳核，並通知獨立董事及監察人（監事、監 事會）或審計委員會，同時通報主管機關。
第四十三條 本辦法規定格式，由主管機關另定之。
第四十四條 信用合作社依本辦法規定向主管機關申報相關資料 時，應另陳報直轄市政府財政局或縣（市）政府。
第四十五條 外國銀行在台分行應依本辦法之規定辦理。但外國 銀行在台分行之內部控制及稽核制度，如依其總行所訂 之相關內部控制及稽核制度規定，有不低於本辦法之規 定者，得由外國銀行在台分行提出總行制度之詳細說明
與我國制度之對照說明，經在台分行負責人簽署後，報 經主管機關備查，依該制度辦理。
外國銀行在台分行之總行對於其內部控制及稽核制 度如有任何變更適用於在台分行者，應於變更後即刻提 出對照說明，並經在台分行負責人簽署後，報經主管機 關備查。
外國銀行在台分行違反主管機關依前二項規定認可 之內部控制及稽核制度，視同違反本辦法規定。
第四十六條 金融控股公司及銀行業之法令遵循單位如非隸屬於 總經理，以及有總稽核、稽核主管或內部稽核人員兼任法 令遵循主管之情形者，金融控股公司、銀行、票券商及信 託業應自中華民國 99 年 3 月 29 日本辦法發布之日起六 個月內，信用合作社應自本辦法發布之日起一年內，調整 至符合第三十二條規定。
第四十七條 本辦法自發布日施行。
