本辦法依金融控股公司法第五十一條、銀行法第四十五條之一第一項、信用合作社法第二十一條第一項、票券金融管理法第四十三條及信託業法第四十二條第三項規定訂定之。

一、營運之效果及效率。

二、報導具可靠性、及時性、透明性及符合相關規範。

三、相關法令規章之遵循。

金融控股公司及銀行業之內部控制制度，應經董（理）事會通過，如有董（理）事表示反對意見或保留意見者，應將其意見及理由於董（理）事會議紀錄載明，連同經董（理）事會通過之內部控制制度送各監察人（監事、監事會）或審計委員會；修正時，亦同。

金融控股公司及銀行業董（理）事會應認知營運所面臨之風險，監督其營運結果，並對於確保建立及維持適當有效之內部控制制度負有最終之責任。

金融控股公司及銀行業應建立自行查核制度、法令遵循制度與風險管理機制及內部稽核制度等內部控制三道防線，以維持有效適當之內部控制制度運作。銀行內部控制三道防線實務守則之執行程序，由中華民國銀行商業同業公會全國聯合會訂定，並報主管機關備查。

金融控股公司（含子公司）與銀行業之內部控制制度應包含下列組成要素：

一、控制環境：係金融控股公司及銀行業設計及執行內部控制制度之基礎。控制環境包括金融控股公司及銀行業之誠信與道德價值、董（理）事會及監察人（監事、監事會）或審計委員會治理監督責任、組織結構、權責分派、人力資源政策、績效衡量及獎懲等。董（理）事會與經理人應建立內部行為準則，包括訂定董（理）事行為準則、員工行為準則等事項。

二、風險評估：風險評估之先決條件為確立各項目標，並與金融控股公司及銀行業不同層級單位相連結，同時需考慮金融控股公司及銀行業目標之適合性。管理階層應考量金融控股公司及銀行業外部環境與商業模式改變之影響，以及可能發生之舞弊情事。其評估結果，可協助金融控股公司及銀行業及時設計、修正及執行必要之控制作業。

三、控制作業：係指金融控股公司及銀行業依據風險評估結果，採用適當政策與程序之行動，將風險控制在可承受範圍之內。控制作業之執行應包括金融控股公司及銀行業所有層級、業務流程內之各個階段、所有科技環境等範圍、對子公司之監督與管理、適當之職務分工，且管理階層及員工不應擔任責任相衝突之工作。

四、資訊與溝通：係指金融控股公司及銀行業蒐集、產生及使用來自內部與外部之攸關、具品質之資訊，以支持內部控制其他組成要素之持續運作，並確保資訊在金融控股公司及銀行業內部與外部之間皆能進行有效溝通。內部控制制度須具備產生規劃、執行、監督等所需資訊及提供資訊需求者適時取得資訊之機制，並保有完整之財務、營運及遵循資訊。有效之內部控制制度應建立有效之溝通管道。

五、監督作業：係指金融控股公司及銀行業進行持續性評估、個別評估或兩者併行，以確定內部控制制度之各組成要素是否已經存在及持續運作。持續性評估係指不同層級營運過程中之例行評估；個別評估係由內部稽核人員、監察人（監事、監事會）或審計委員會、董（理）事會等其他人員進行評估。對於所發現之內部控制制度缺失，應向適當層級之管理階層、董（理）事會及監察人（監事、監事會）或審計委員會溝通，並及時改善。

前條第一款之董（理）事行為準則至少應包括董（理）事發現金融控股公司及銀行業有受重大損害之虞時，應儘速妥適處理，立即通知審計委員會或審計委員會之獨立董事成員或監察人（監事、監事會）並提報董（理）事會，且應督導所屬金融控股公司及銀行業通報主管機關。

一、組織規程或管理章則，應包括訂定明確之組織系統、單位職掌、業務範圍與明確之授權及分層負責辦法。

二、相關業務規範及處理手冊，包括：

（一）投資準則。

（二）客戶資料保密。

（三）利害關係人交易規範。

（四）股權管理。

（五）財務報表編製流程之管理，包括適用國際財務報導準則之管理、會計專業判斷程序、會計政策與估計變動之流程等。

（六）總務、資訊、人事管理（銀行業應含輪調及休假規定）。

（七）對外資訊揭露作業管理。

（八）金融檢查報告之管理。

（九）金融消費者保護之管理。

（十）重大偶發事件之處理機制。

（十一）防制洗錢及打擊資恐機制及相關法令之遵循管理，包括辨識、衡量、監控洗錢及資恐風險之管理機制。

（十二）其他業務之規範及作業程序。

內部稽核制度之目的，在於協助董（理）事會及管理階層查核及評估內部控制制度是否有效運作，並適時提供改進建議，以合理確保內部控制制度得以持續有效實施及作為檢討修正內部控制制度之依據。

總稽核有下列情形之一者，主管機關得視情節之輕重，予以糾正、命其限期改善或命令金融控股公司或銀行業解除其總稽核職務：

一、有事實證明曾有從事不當授信案件或涉及嚴重違反授信原則或與客戶不當資金往來之行為。

二、濫用職權，有事實證明從事不正當之活動，或意圖為自己或第三人不法之利益，或圖謀損害所屬金融控股公司（含子公司）或銀行業之利益，而為違背其職務之行為，致生損害於所屬金融控股公司及其子公司或銀行業或第三人。

三、未經主管機關同意，對執行職務無關之人員洩漏、交付或公開金融檢查報告全部或其中任一部分內容。

四、因所屬金融控股公司（含子公司）或銀行業內部管理不善，發生重大舞弊案件，未通報主管機關。

五、對所屬金融控股公司（含子公司）或銀行業財務與業務之嚴重缺失，未於內部稽核報告揭露。

六、辦理內部稽核工作，出具不實內部稽核報告。

七、因所屬金融控股公司（含子公司）或銀行業配置之內部稽核人員顯有不足或不適任，未能發現財務及業務有嚴重缺失。

八、未配合主管機關指示事項辦理查核工作或提供相關資料。

九、其他有損害所屬金融控股公司（含子公司）或銀行業信譽或利益之行為者。

一、具有二年以上之金融檢查經驗；或大專院校畢業、高等考試或相當於高等考試、國際內部稽核師之考試及格並具有二年以上之金融業務經驗；或具有五年以上之金融業務經驗。曾任會計師事務所查帳員、電腦程式設計師或系統分析師等專業人員二年以上，經施以三個月以上之金融業務及管理訓練，視同符合規定，惟其員額不得逾稽核人員總員額之三分之一。

二、最近三年內應無記過以上之不良紀錄，但其因他人違規或違法所致之連帶處分，已功過相抵者，不在此限。

三、內部稽核人員充任領隊時，應有三年以上之稽核或金融檢查經驗，或一年以上之稽核經驗及五年以上之金融業務經驗。

一、明知所屬金融控股公司（含子公司）或銀行業之營運活動、報導及相關法令規章遵循情況有直接損害利害關係人之情事，而予以隱飾或作不實、不當之揭露。

二、逾越稽核職權範圍以外之行為或有其他不正當情事，對於所取得之資訊，對外洩漏或為己圖利或侵害所屬金融控股公司（含子公司）或銀行業之利益。

三、因職務上之廢弛，致有損及所屬金融控股公司（含子公司）或銀行業或利害關係人之權益等情事。

四、對於以前曾服務之部門，於一年內進行稽核作業。

五、對於以前執行之業務或與自身有利害關係案件未予迴避，而辦理該等案件或業務之稽核工作。

六、直接或間接提供、承諾、要求或收受所屬金融控股公司（含子公司）或銀行業從業人員或客戶不合理禮物、款待或其他任何形式之不正當利益。

七、未配合辦理主管機關指示查核事項或提供相關資料。

八、其他違反法令規章或經主管機關規定不得為之行為。

一、規劃內部稽核之組織、編制與職掌，並編撰內部稽核工作手冊及工作底稿，其內容至少應包括對內部控制制度各項規定與業務流程進行評估，以判斷現行規定、程序是否已具有適當之內部控制，管理單位與營業單位是否切實執行內部控制及執行內部控制之效益是否合理等，並隨時提出改進意見。

二、督導業務管理單位訂定自行查核內容與程序，及各單位自行查核之執行情形。

三、擬訂年度稽核計畫，並依子公司或各單位業務風險特性及其內部稽核執行情形，訂定對子公司或各單位之查核計畫。

一、最近一次申報自有資本與風險性資產比率，符合銀行資本適足性及資本等級管理辦法第五條之規定。

二、以最近一次金融檢查及最近一期經會計師查核簽證之財務報表為基準，均無備抵呆帳及各項準備提列不足。

三、最近一季逾期放款比率未超逾百分之一。

四、已具備有效之內部控制制度。

一、查核範圍、綜合評述、財務狀況、資本適足性、經營績效、資產品質、股權管理、董（理）事會及審計委員會議事運作之管理、法令遵循、內部控制、利害關係人交易、各項業務作業控制與內部管理、客戶資料保密管理、資訊管理、員工保密教育、消費者及投資人權益保護措施及自行查核辦理情形，並加以評估。

二、對各單位發生重大違法、缺失或弊端之檢查意見及對失職人員之懲處建議。

三、金融檢查機關、會計師、內部稽核單位（含母公司內部稽核單位）、自行查核人員所提列檢查意見或查核缺失，及內部控制制度聲明書所列應加強辦理改善事項之未改善情形。

金融控股公司及銀行業應將內部稽核報告交付監察人（監事、監事會）或審計委員會查閱，除主管機關另有規定外，應於查核結束日起二個月內報主管機關，設有獨立董事者，應一併交付。

一、初任稽核人員應參加稽核人員研習班、電腦稽核研習班或票券稽核研習班六十小時以上課程，並經考試及格且取得結業證書。

二、領隊稽核人員應參加領隊稽核研習班十九小時以上課程。

三、總稽核及正副主管應參加稽核主管研習班十二小時以上課程。

金融控股公司及銀行業應於每會計年度終了後五個月內將上一年度內部控制制度缺失與異常事項及其改善情形，依主管機關規定格式以網際網路資訊系統報主管機關備查。

一、曾擔任內部稽核單位之稽核人員實際辦理內部稽核工作一年以上者。

二、參加主管機關認定機構所舉辦之稽核人員研習班或電腦稽核研習班，經前述訓練機構考試及格且取得結業證書。

三、取得主管機關認定機構舉辦之銀行內部控制與內部稽核測驗考試合格證書，測驗內容應比照前款研習與考試內容。

主管機關於必要時，得邀集銀行業及其委託之會計師就前條委託辦理查核相關事宜進行討論，主管機關若發現銀行業委託之會計師有未足以勝任委託查核工作之情事者，得令銀行業更換委託查核會計師重新辦理查核工作。

一、查核過程中，未提供會計師所需要之報表、憑證、帳冊及會議紀錄或對會計師之詢問事項拒絕提出說明，或受其他客觀環境限制，致使會計師無法繼續辦理查核工作。

二、在會計或其他紀錄有虛偽、造假或缺漏，情節重大者。

三、資產不足以抵償負債或財務狀況顯著惡化。

四、有證據顯示交易對淨資產有重大減損之虞。

一、銀行業前一年度經會計師查核簽證之資產總額達新臺幣一兆元以上者，應設置專責之法令遵循單位，得兼辦防制洗錢及打擊資恐相關事項。但不得兼辦與法令遵循制度之規劃、管理及執行無關之法務或其他與職務有利益衝突之業務。其總機構法令遵循主管，得兼任防制洗錢及打擊資恐專責單位主管。但不得兼任法務單位主管或內部其他職務。

二、金融控股公司及不適用前款規定之銀行業，其總機構法令遵循主管除兼任法務單位主管與防制洗錢及打擊資恐專責單位主管外，不得兼任內部其他職務。但主管機關對信用合作社及票券金融公司另有規定者，依其規定。

一、兼任防制洗錢及打擊資恐主管。

二、依當地法令明定得兼任無職務衝突之其他職務。

三、當地法令未明確規定，於與當地主管機關溝通並確認後，報經主管機關備查者，得兼任無職務衝突之其他職務。

一、曾任金融機構法令遵循人員或主管，合計滿五年者。

二、參加主管機關認定機構所舉辦三十小時以上課程，並經考試及格且取得結業證書。

三、國外營業單位法令遵循主管係自當地聘任者，依董事會通過之評估辦法自行評估，或經當地主管機關審查認可，足證其已具備熟知當地法令規定之相關能力。

一、建立清楚適當之法令規章傳達、諮詢、協調與溝通系統。

二、確認各項作業及管理規章均配合相關法規適時更新，使各項營運活動符合法令規定。

三、於銀行業推出各項新商品、服務及向主管機關申請開辦新種業務前，法令遵循主管應出具符合法令及內部規範之意見並簽署負責。

四、訂定法令遵循之評估內容與程序，及督導各單位定期自行評估執行情形，並對各單位法令遵循自行評估作業成效加以考核，經簽報總經理後，作為單位考評之參考依據。

五、對各單位人員施以適當合宜之法規訓練。

六、應督導各單位法令遵循主管落實執行相關內部規範之導入、建置與實施。

一、蒐集當地金融法規資料、落實執行法令遵循自行評估作業、確保法令遵循主管適任性及法令遵循資源（含人員、配備及訓練）是否適足等事項，以確保遵守其所在地國家之法令。

二、建立法令遵循風險之自行評估及監控機制，對於其中業務規模大、複雜度或風險程度高者，並應委請當地外部獨立專家驗證其法令遵循風險自行評估及監控機制之有效性。

一、法令遵循單位應建立辨識、評估、控制、衡量、監控及獨立陳報法令遵循風險之程序、計畫及機制，以全面控制、監督及支援國內外各部門、分支機構及子公司之個別營業單位、跨部門及跨境之相關法令遵循事項。

二、法令遵循單位應依據業務分類或法令遵循重點設置適當數量之專業單位，以負責該項業務或法令相關之國內外營業單位監督、法令遵循執行及支援事項。

三、法令遵循單位得依風險基礎方法評估各單位法令遵循主管之設置並強化法令遵循主管之獨立性，屬法令遵循風險較低之單位得不單獨設置法令遵循主管而由總機構法令遵循單位負責，不受第三十二條第四項前段規定之限制。

四、法令遵循單位應建立法令遵循風險警訊之獨立通報、評估及處理因應機制。

五、法令遵循單位應定期及不定期評估主要營運活動、商品及服務、授信或業務專案、有違反法令之虞之重大客訴等法令遵循風險管理情形，並建立與其他第二道防線之橫向溝通聯繫機制。

六、法令遵循單位為掌握全行法令遵循風險情形，得向各單位要求提供相關資訊。

七、管理階層及各部門主管之考核，應納入法令遵循部門對其法令遵循執行程度之評估意見。

八、銀行業及法令遵循單位應充分掌握國外營業單位應辦理之法令遵循事項及當地主管機關對法令遵循標準之要求，並提供充分資源及支援。

九、法令遵循單位依第三十二條第一項至少每半年向董（理）事會及監察人或審計委員會報告之法令遵循事項，應針對全行境內外營運情形，提出法令遵循風險管理之弱點事項及督導改善計畫及時程，董（理）事會應提供充分資源及對營業單位建立適當獎懲機制，以循序建立全行法令遵循文化。

十、內部稽核單位依第十條第一項至少每半年向董（理）事會及監察人或審計委員會報告之稽核業務事項，應包括法令遵循單位辦理績效及全行法令遵循程度之評估意見。

一、檢舉人之身分資料應予保密，不得洩漏足以識別其身分之資訊。

二、不得因所檢舉案件而對檢舉人予以解僱、解任、降調、減薪、損害其依法令、契約或習慣上所應享有之權益，或其他不利處分。

一、揭示任何人發現有犯罪、舞弊或違反法令之虞時，均得提出檢舉。

二、受理之檢舉案件類型。

三、設置並公布檢舉之管道。

四、調查與配合調查之流程、迴避規定及後續處理機制之標準作業程序。

五、檢舉人保護措施。

六、檢舉案件受理、調查過程、調查結果與相關文件製作之紀錄及保存。

七、檢舉案件之處理情形，應適度以書面或其他方式通知檢舉人。

金融控股公司之風險控管機制應包括下列事項：

一、依金融控股公司及其子公司業務規模、信用風險、市場風險與作業風險狀況及未來營運趨勢，監控金融控股公司及其子公司資本適足性。

二、訂定適當之長短期資金調度原則及管理規範，建立衡量及監控金融控股公司及其子公司流動性部位之管理機制，以衡量、監督、控管金融控股公司及其子公司之流動性風險。

三、考量金融控股公司整體暴險、自有資本及負債特性進行各項投資配置，建立各項投資風險之管理。

四、建立金融控股公司及其各子公司一致性資產品質及分類之評估方法，計算及控管金融控股公司及其子公司之大額暴險，並定期檢視，覈實提列備抵損失或準備。

五、對金融控股公司與其子公司及各子公司間業務或交易、資訊交互運用等建立資訊安全防護機制及緊急應變計畫。

銀行業之風險控管機制應包括下列原則：

一、應依其業務規模、信用風險、市場風險與作業風險狀況及未來營運趨勢，監控資本適足性。

二、應建立衡量及監控流動性部位之管理機制，以衡量、監督、控管流動性風險。

三、應考量整體暴險、自有資本及負債特性進行各項資產配置，建立各項業務風險之管理。

四、應建立資產品質及分類之評估方法，計算及控管大額暴險，並定期檢視，覈實提列備抵損失。

五、應對業務或交易、資訊交互運用等建立資訊安全防護機制及緊急應變計畫。

金融控股公司及銀行業應於內部控制制度中訂定經理人及相關人員違反本辦法或其所訂內部控制制度規定時之處罰。

本辦法所稱金融控股公司之子公司，應依金融控股公司法第四條規定認定；銀行業之子公司應依公開發行公司建立內部控制制度處理準則第五條第三項規定認定。

內部稽核人員及法令遵循主管，對內部控制重大缺失或違法違規情事所提改進建議不為管理階層採納，將肇致所屬金融控股公司（含子公司）或銀行業重大損失者，均應立即作成報告陳核，並通知獨立董事及監察人（監事、監事會）或審計委員會，同時通報主管機關。

金融控股公司及銀行業於主管機關或國外分支機構當地主管機關檢查結束或收到檢查報告後，總機構之內部稽核單位應依重大性原則，即時通報董（理）事及監察人（監事、監事會），並提報最近一次董（理）事會報告。報告事項應包括檢查溝通會議內容、主要檢查缺失、遭金融主管機關調降評等、主管機關要求採行之重大缺失改善方案或可能採行之處分措施。

本辦法規定格式，由主管機關另定之。

信用合作社依本辦法規定向主管機關申報相關資料時，應另陳報直轄市政府財政局或縣（市）政府。

銀行業不符第三十八條之一第一項前段有關兼任之規定者，應自中華民國一百十年九月二十三日本辦法修正發布之日起六個月內，調整至符合規定。