各服務事業之內部控制制度，除視事業之性質訂定各種營運循環類型之控
制作業外，尚應視其需要包括對下列作業之控制：
一、印鑑使用之管理。
二、票據領用之管理。
三、預算之管理。
四、財產之管理。
五、背書保證之管理。
六、負債承諾及或有事項之管理。
七、職務授權及代理人制度之執行。
八、財務及非財務資訊之管理。
九、關係人交易之管理。
十、財務報表編製流程之管理，包括適用國際財務報導準則之管理、會計
    專業判斷程序、會計政策與估計變動之流程等。
十一、對子公司之監督與管理。
十二、法令遵循制度。
十三、金融檢查報告之管理。
十四、金融消費者保護之管理。但依金融消費者保護法第三條第二項排除
      適用之事業，不在此限。
十五、個人資料保護之管理。
十六、重大事件（如：重大違規、遭受重大損失之虞等）處理及通報機制
      之管理。
十七、檢舉制度。
股票公開發行或主管機關指定之各服務事業，除應包括前項作業之控制外
，尚應包括董事會議事運作之管理及股務作業之管理。
各服務事業已依證券交易法規定設置審計委員會者，其內部控制制度，應
包括審計委員會議事運作之管理。
股票已上市或在證券商營業處所買賣之事業，其內部控制制度，尚應包括
對下列作業之控制：
一、薪資報酬委員會運作之管理。
二、防範內線交易之管理。
各服務事業屬洗錢防制法所稱之金融機構者，其內部控制制度應包含防制
洗錢及打擊資恐機制及相關法令之遵循管理，包括辨識、衡量、監控洗錢
及資恐風險之管理機制。
前項設有國內外分公司（或子公司）之服務事業應建立集團整體性防制洗
錢及打擊資恐計畫，包括在符合國外分公司（或子公司）當地法令下，以
防制洗錢及打擊資恐為目的之集團內資訊分享政策及程序。

負責法令遵循之單位應辦理下列事項：
一、建立清楚適當之法令傳達、諮詢、協調與溝通系統。
二、確認各項作業及管理規章均配合相關法規適時更新，使各項營運活動
    符合法令規定。
三、訂定法令遵循之評估內容與程序，並督導各單位定期自行評估執行情
    形。
四、對各單位人員施以適當合宜之法規訓練。
五、督導國內外分公司遵循其所在地國家之法令。
六、其他經主管機關規定應辦理之事項。
各服務事業設有國外分公司者，負責法令遵循之單位應督導國外分公司辦
理下列事項：
一、蒐集當地金融法規資料、落實執行法令遵循自行評估作業、確保法令
    遵循主管適任性及法令遵循資源（含人員、配備及訓練）是否適足等
    事項，以確保遵守其所在地國家之法令。
二、建立法令遵循風險之自行評估及監控機制，對於其中業務規模大、複
    雜度或風險程度高者，並應委請當地外部獨立專家驗證其法令遵循風
    險自行評估及監控機制之有效性。
法令遵循自行評估作業，每年至少須辦理一次，其辦理結果應送法令遵循
單位備查。各單位辦理自行評估作業，應由該單位主管指定專人辦理。
前項自行評估工作底稿及資料應至少保存五年。

各服務事業為促進健全經營，應建立檢舉制度，並指定具職權行使獨立性
之單位負責檢舉案件之受理及調查。
各服務事業對檢舉人應為下列之保護：
一、檢舉人之身分資料應予保密，不得洩漏足以識別其身分之資訊。
二、不得因所檢舉案件而對檢舉人予以解僱、解任、降調、減薪、損害其
    依法令、契約或習慣上所應享有之權益，或其他不利處分。
檢舉案件之受理及調查過程，有利益衝突之人，應予迴避。
第一項檢舉制度，至少應包括下列事項，並報經董事會通過：
一、揭示任何人發現有犯罪、舞弊或違反法令之虞時，均得提出檢舉。
二、受理之檢舉案件類型。
三、設置並公布檢舉之管道。
四、調查與配合調查之流程、迴避規定及後續處理機制之標準作業程序。
五、檢舉人保護措施。
六、檢舉案件受理、調查過程、調查結果與相關文件製作之紀錄及保存。
七、檢舉案件之處理情形，應適度以書面或其他方式通知檢舉人。
被檢舉人為董事、監察人或職責相當於副總經理以上之管理階層者，調查
報告應陳報至監察人或審計委員會複審。
各服務事業調查後發現為重大偶發事件或違法案件，應主動向相關機關通
報或告發。
各服務事業應定期對所屬人員，辦理檢舉制度之宣導及教育訓練。

各服務事業應配置適當人力資源及設備，進行資訊安全制度之規劃、監控
及執行資訊安全管理作業。主管機關得視服務事業規模、業務性質及組織
特性，命令設置資訊安全專責單位、主管及人員。
各服務事業每年應將前一年度資訊安全整體執行情形，由負責資訊安全之
最高主管與董事長、總經理、稽核主管聯名出具資訊安全整體執行情形聲
明書，於會計年度終了後三個月內提報董事會。
各服務事業負責資訊安全之主管及人員，每年應至少接受十五小時以上資
訊安全專業課程訓練或職能訓練。其他使用資訊系統之從業人員，每年應
至少接受三小時以上資訊安全宣導課程。
證券商業同業公會、期貨業商業同業公會及中華民國證券投資信託暨顧問
商業同業公會應訂定並定期檢討資訊安全自律規範。

本準則自發布日施行。
中華民國一百年十二月二十一日修正條文，除第八條第一項第十四款及第
十四條第三項修正條文自一百年十二月三十日施行外，自發布日起三個月
後施行。
中華民國一百零三年九月二十二日修正發布條文，自一百零四年一月一日
施行。
中華民國一百零七年五月三十日修正之第二十八條之一，自發布後六個月
施行。