各服務事業之內部控制制度係由服務事業經理人所設計，董事會通過，並由董事會、經理人及其他員工執行之管理過程，其目的在於促進服務事業之健全經營，以合理確保下列目標之達成：

前項第一款所稱營運之效果及效率目標，包括獲利、績效及保障資產安全等目標。

第一項第二款所稱之報導，包括各服務事業內部與外部財務報導及非財務報導。其中外部財務報導之目標，包括確保對外之財務報表係依照各服務事業財務報告編製規範及一般公認會計原則編製，交易經適當核准等目標。

各服務事業應以書面訂定內部控制制度，含內部稽核實施細則，並經董事會通過，如有董事表示異議且有紀錄或書面聲明者，服務事業應將異議意見連同經董事會通過之內部控制制度送各監察人；修正時，亦同。

各服務事業已設置獨立董事者，依前項規定將內部控制制度提報董事會討論時，應充分考量各獨立董事之意見，獨立董事如有反對意見或保留意見，應於董事會議事錄載明。

各服務事業已依證券交易法規定設置審計委員會者，訂定或修正內部控制制度，應經審計委員會全體成員二分之一以上同意，並提董事會決議。

前項如未經審計委員會全體成員二分之一以上同意者，得由全體董事三分之二以上同意行之，並應於董事會議事錄載明審計委員會之決議。

第三項所稱審計委員會全體成員及前項所稱全體董事，以實際在任者計算之。

各服務事業董事會應認知營運所面臨之風險，監督其營運結果，並對於確保建立及維持適當有效之內部控制制度負有最終之責任。

各服務事業之內部控制制度，應訂定明確之內部組織結構、呈報體系，及適當權限與責任，並載明經理人之設置、職稱、委任與解任、職權範圍及薪資報酬政策與制度等事項。

各服務事業應考量本事業及其子公司整體之營運活動，設計並確實執行其內部控制制度，且應隨時檢討，以因應事業內外在環境的變遷，俾確保該制度之設計及執行持續有效。

前項所稱子公司，應依各服務事業財務報告編製規範之規定認定之。

各服務事業之內部控制制度應包括下列組成要素：

各服務事業於設計及執行，或自行評估，或會計師受託專案審查公司內部控制制度時，應綜合考量前項所列各組成要素，其判斷項目除主管機關所定者外，依實際需要得自行增列必要之項目。

第一項第一款之董事行為準則至少應包括董事發現本事業有受重大損害之虞時，應儘速妥適處理，立即通知審計委員會或審計委員會之獨立董事成員或監察人並提報董事會，且應督導所屬服務事業通報主管機關。

各服務事業之內部控制制度，除視事業之性質訂定各種營運循環類型之控制作業外，尚應視其需要包括對下列作業之控制：

股票公開發行或主管機關指定之各服務事業，除應包括前項作業之控制外，尚應包括董事會議事運作之管理及股務作業之管理。

各服務事業已依證券交易法規定設置審計委員會者，其內部控制制度，應包括審計委員會議事運作之管理。

股票已上市或在證券商營業處所買賣之事業，其內部控制制度，尚應包括對下列作業之控制：

各服務事業屬洗錢防制法所稱之金融機構者，其內部控制制度應包含防制洗錢及打擊資恐機制及相關法令之遵循管理，包括辨識、衡量、監控洗錢及資恐風險之管理機制。

前項設有國內外分公司（或子公司）之服務事業應建立集團整體性防制洗錢及打擊資恐計畫，包括在符合國外分公司（或子公司）當地法令下，以防制洗錢及打擊資恐為目的之集團內資訊分享政策及程序。

各服務事業應設置隸屬於董事會之內部稽核單位，除主管機關另有規定外，應依其事業規模、業務情況、管理需要及其他有關法令之規定，配置適任及適當人數之專任內部稽核人員，並應設置職務代理人，其代理執行稽核業務應依本準則規定辦理。

各服務事業應設有內部稽核主管，綜理稽核業務，其應具備領導及有效督導稽核工作之能力。內部稽核主管之任免，應經董事會通過，已設置獨立董事者，獨立董事如有反對意見或保留意見，應於董事會議事錄載明。

各服務事業已依證券交易法規定設置審計委員會者，內部稽核主管之任免，應經審計委員會全體成員二分之一以上同意，並提董事會決議，並準用第五條第四項及第五項規定。

除證券商及期貨業另有規定外，各服務事業內部稽核主管之任免，應於董事會通過之日起五日內填報異動原因併董事會會議紀錄申報主管機關備查。

內部稽核單位之人事任用、免職、升遷、獎懲、輪調及考核等，應由稽核主管簽報，報經董事長核定後辦理。但涉及其他管理、營業單位人事者，應事先洽商人事單位轉報總經理同意後，再行簽報董事長核定。

第一項所稱適任之專任內部稽核人員應具備條件，由主管機關另定之。

各服務事業內部稽核單位應依風險評估結果擬訂年度稽核計畫，除主管機關另有規定外，應包括每月應稽核之項目，年度稽核計畫並應確實執行，據以評估服務事業之內部控制制度，並檢附工作底稿及相關資料等作成稽核報告。

各服務事業至少應將下列事項列為每年年度稽核計畫之稽核項目：

依金融消費者保護法所定之金融服務業之每年年度稽核計畫，除應包括前項之稽核項目外，尚應包括對金融消費者保護之管理。

股票公開發行或主管機關指定之各服務事業之每年年度稽核計畫，除應包括前二項之稽核項目外，尚應包括董事會議事運作之管理。

股票已上市或在證券商營業處所買賣之各服務事業之每年年度稽核計畫，除應包括前三項之稽核項目外，尚應包括薪資報酬委員會運作之管理。

各服務事業已依證券交易法規定設置審計委員會者，其年度稽核計畫，尚應包括審計委員會議事運作之管理。

各服務事業屬洗錢防制法所稱之金融機構者，其年度稽核計畫應包括防制洗錢及打擊資恐及其相關法令遵循之管理。

各服務事業年度稽核計畫應經董事會通過；修正時，亦同。

各服務事業已設立獨立董事者，依前項規定將年度稽核計畫提報董事會討論時，應充分考量各獨立董事之意見，獨立董事如有反對意見或保留意見，應於董事會議事錄載明。

第一項之稽核報告、工作底稿及相關資料應至少保存五年。

各服務事業內部稽核人員應與受查單位就年度稽核項目查核結果充分溝通，對於評估所發現之內部控制制度缺失及異常事項，應據實揭露於稽核報告，並於該報告陳核後加以追蹤，至少按季作成追蹤報告並提報董事會至改善為止，以確定相關單位業已及時採取適當之改善措施。

各服務事業應就前項所發現之內部控制制度缺失、異常事項及改善情形，列為各部門績效考核之重要項目。

第一項內部控制制度缺失及異常事項改善情形，應包括主管機關或自律機構檢查所發現、內部稽核作業所發現、內部控制制度聲明書所列、自行評估及會計師專案審查所發現之各項缺失。

各服務事業應於稽核報告及追蹤報告陳核後，於稽核項目完成之次月底前交付各監察人查閱。

各服務事業內部稽核人員如發現重大違規情事或服務事業有受重大損失之虞等重大事件時，應立即作成報告陳核，並通知各監察人。如對前揭缺失事項所提改進建議不為管理階層採納，將肇致服務事業重大損失者，亦應作成報告陳核及通知各監察人，並通報主管機關。

各服務事業設有獨立董事者，於依前二項規定辦理時，應一併交付或通知獨立董事。

各服務事業於主管機關或國外分公司（或子公司）當地主管機關檢查結束或收到檢查報告後，總（母）公司之內部稽核單位應依重大性原則，即時通報董事及監察人，並提報最近一次董事會報告。報告事項應包括檢查溝通會議內容、主要檢查缺失、遭主管機關調降評等、主管機關要求採行之重大缺失改善方案或可能採行之處分措施。

各服務事業內部稽核人員應秉持超然獨立之精神，以客觀公正之立場，確實執行其職務，並盡專業上應有之注意，除定期向各監察人報告稽核業務外，稽核主管並應列席董事會報告。

內部稽核人員執行業務應本誠實信用原則，並不得有下列情事：

各服務事業內部稽核人員應持續進修並參加主管機關認定機構所舉辦之內部稽核講習，以提昇稽核品質及能力。

前項內部稽核講習之內容，應包括各項專業課程、電腦稽核及法律常識等。

第一項進修時數之規定，由主管機關另定之。

證券商、期貨業、證券投資信託事業及證券投資顧問事業之年度稽核計畫及其執行情形、所見異常事項改善情形等均應分別送證券交易所、證券櫃檯買賣中心、證券集中保管事業、期貨交易所、證券商同業公會、期貨業商業同業公會或中華民國證券投資信託暨顧問商業同業公會備查；其格式內容、方式及申報時間，分別由證券交易所、證券櫃檯買賣中心、證券集中保管事業、期貨交易所、證券商同業公會、期貨業商業同業公會或中華民國證券投資信託暨顧問商業同業公會訂之。

證券金融事業、信用評等事業及其他主管機關指定之證券或期貨市場服務事業應於每會計年度終了前將次一年度之年度稽核計畫及每會計年度終了後二個月內將上一年度之年度稽核計畫執行情形依主管機關規定格式及方式申報主管機關備查；並應於每會計年度終了後五個月內，將上一年度內部稽核所見異常事項改善情形申報主管機關備查。

證券交易所、證券櫃檯買賣中心、證券集中保管事業及期貨交易所於每會計年度終了前將次一年度之年度稽核計畫及每季終了後二個月內將上一季內部稽核實際執行情形、所見異常事項及異常事項改善情形申報主管機關備查。

各服務事業自行評估內部控制制度之目的，在落實自我監督之機制、及時因應環境改變，以調整內部控制制度之設計，並提昇內部稽核部門的稽核品質及效率；其評估之範圍，應涵蓋服務事業各類內部控制制度之設計及執行。

各服務事業執行前項評估，應於內部控制制度訂定自行評估作業之程序及方法。

各服務事業應注意相關法令規章遵循事項並依風險評估結果，決定前項自行評估作業程序及方法，並至少包含下列項目：

各服務事業自行評估內部控制制度，除主管機關另有規定外，應先督促其內部各單位及子公司每年至少辦理自行評估一次，再由內部稽核單位覆核各單位之自行評估報告，併同稽核單位所發現之內部控制缺失及異常事項改善情形，以作為董事會及總經理評估事業整體內部控制制度有效性及出具內部控制制度聲明書之主要依據。

前項自行評估應作成工作底稿，併同自行評估報告及相關資料至少保存五年。

各服務事業應每年自行評估內部控制制度設計及執行之有效性，並依主管機關規定格式作成內部控制制度聲明書，除各該事業之相關法令另有規定外，應於每會計年度終了後三個月內申報主管機關備查。

各服務事業已依證券交易法規定設置審計委員會者，前項內部控制制度設計及執行之有效性，應經審計委員會全體成員二分之一以上同意並準用第五條第四項及第五項規定。

第一項內部控制制度聲明書應先經董事會通過；修正時，亦同。

股票公開發行或主管機關指定之各服務事業，第一項內部控制制度聲明書應於主管機關指定網站辦理公告申報，免再將書面資料申報主管機關備查。

第一項之內部控制制度聲明書應依規定刊登於年報、股票公開發行說明書及公開說明書或投資說明書。

會計師受各服務事業委託專案審查內部控制制度，準用公開發行公司建立內部控制制度處理準則第二十五條至第三十六條之規定辦理。

各服務事業屬洗錢防制法所稱之金融機構者，主管機關得請證券交易所、證券櫃檯買賣中心、期貨交易所或中華民國證券投資信託暨顧問商業同業公會等證券期貨相關機構辦理個人資料保護、防制洗錢及打擊資恐機制之專案查核，必要時得命令該事業委託會計師辦理之。

主管機關得視證券商、期貨業、證券金融事業、證券投資信託事業、證券投資顧問事業、信用評等事業及其他經主管機關指定之證券或期貨市場服務事業規模、業務性質及組織特性，命令設置隸屬於總經理之單位，負責法令遵循制度之規劃、管理及執行。

董事會應指派高階主管一人擔任公司法令遵循主管，綜理法令遵循事務，至少每半年向董事會及各監察人報告，如發現有重大違反法令或遭主管機關調降評等時，應即時通報董事及監察人，並就法令遵循事項，提報董事會，其報告內容至少應包括上述事件原因分析、可能影響及改善建議。

前項法令遵循主管名單，除證券商及期貨業另有規定外，應於董事會通過之日起五日內填報異動原因併董事會會議紀錄報主管機關備查。

負責法令遵循之單位應辦理下列事項：

各服務事業設有國外分公司者，負責法令遵循之單位應督導國外分公司辦理下列事項：

法令遵循自行評估作業，每年至少須辦理一次，其辦理結果應送法令遵循單位備查。各單位辦理自行評估作業，應由該單位主管指定專人辦理。

前項自行評估工作底稿及資料應至少保存五年。

各服務事業為促進健全經營，應建立檢舉制度，並指定具職權行使獨立性之單位負責檢舉案件之受理及調查。

各服務事業對檢舉人應為下列之保護：

檢舉案件之受理及調查過程，有利益衝突之人，應予迴避。

第一項檢舉制度，至少應包括下列事項，並報經董事會通過：

被檢舉人為董事、監察人或職責相當於副總經理以上之管理階層者，調查報告應陳報至監察人或審計委員會複審。

各服務事業調查後發現為重大偶發事件或違法案件，應主動向相關機關通報或告發。

各服務事業應定期對所屬人員，辦理檢舉制度之宣導及教育訓練。

各服務事業對子公司之監督與管理準用公開發行公司建立內部控制制度處理準則第三十八條至第四十一條之規定辦理。

各服務事業之子公司如為本準則第三條所稱之服務事業，各服務事業對該子公司之監督與管理得不適用前項規定辦理。

各服務事業應於內部控制制度中訂定經理人及相關人員違反本準則或各服務事業所訂內部控制制度規定時之處罰。

各服務事業應隨時檢查內部稽核人員有無違反第十二條第一項有關適任與專任規定及第十七條第二項規定之情事，如有違反規定者，除法令另有規定外，各服務事業應於發現之日起一個月內調整其職務。

各服務事業於依第十九條規定申報內部稽核人員之基本資料時，應檢查內部稽核人員是否符合第十八條第一項規定，如違反該項規定，應於一個月內改善，若逾期未予改善，除法令另有規定外，各服務事業應立即調整其職務。

各服務事業因內部管理不善、內部控制欠佳、內部稽核制度及法令遵循制度未落實、對主管機關檢查意見覆查追蹤之缺失改善辦理情形或內部稽核單位對查核結果有隱匿未予揭露，而肇致重大弊端時，相關人員應負失職責任。內部稽核人員發現重大弊端或疏失，並使服務事業免於重大損失，應予獎勵。

各服務事業管理單位及營業單位發生重大缺失或弊端時，內部稽核單位應有懲處建議權，並應於內部稽核報告中充分揭露對重大缺失應負責之失職人員。

各服務事業符合一定條件者，應指派副總經理以上或職責相當之人兼任資訊安全長，綜理資訊安全政策推動及資源調度事務；其一定條件，由主管機關定之。

各服務事業應配置適當人力資源及設備，進行資訊安全制度之規劃、監控及執行資訊安全管理作業。主管機關得視服務事業規模、業務性質及組織特性，命令設置資訊安全專責單位、主管及人員。

各服務事業每年應將前一年度資訊安全整體執行情形，由資訊安全長或負責資訊安全之最高主管與董事長、總經理、稽核主管聯名出具第二十四條規定之內部控制制度聲明書，於會計年度終了後三個月內提報董事會通過。

各服務事業負責資訊安全之主管及人員，每年應至少接受十五小時以上資訊安全專業課程訓練或職能訓練。其他使用資訊系統之從業人員，每年應至少接受三小時以上資訊安全宣導課程。

證券商業同業公會、期貨業商業同業公會及中華民國證券投資信託暨顧問商業同業公會應訂定並定期檢討資訊安全自律規範。

各服務事業得依公司業務情況及管理需要，配置適任及適當人數之公司治理人員，並得指定公司治理主管一名，為負責公司治理相關事務之最高主管。但主管機關應視服務事業規模、業務性質及其他必要情況，要求其設置公司治理主管。

前項公司治理相關事務，至少應包括下列內容：

第一項公司治理主管應為公司經理人。除法令另有規定外，應依下列規定辦理：

公司治理主管除法令另有規定外，得由公司其他職位人員兼任。公司治理主管由其他職位人員兼任者，應確保其本職及兼任職務之有效執行，且不得涉有利益衝突及違反內部控制制度情事。

依第一項但書規定設置之公司治理主管辭職或解任者，應自事實發生之日起一個月內補行委任。

本準則自發布日施行。

中華民國一百年十二月二十一日修正條文，除第八條第一項第十四款及第十四條第三項修正條文自一百年十二月三十日施行外，自發布日起三個月後施行。

中華民國一百零三年九月二十二日修正發布條文，自一百零四年一月一日施行。

中華民國一百零七年五月三十日修正之第二十八條之一，自發布後六個月施行。