發行機構應建立內部控制及稽核制度，並確實有效執行。

發行機構內部控制制度，對於組織章程、與整體經營策略、重大政策或重大風險相關之管理章則及業務規範，應經董事會通過，其餘得依董事會通過授權之內部分層負責授權規定辦理。如有董事表示反對意見或保留意見者，應將其意見及理由於董事會議紀錄載明，連同經董事會通過之內部控制制度送各監察人或審計委員會；修正時，亦同。

發行機構應設置隸屬於董事會之內部稽核單位，並配置適任及適當人數之專任內部稽核人員，且應包括電腦稽核人員。

內部稽核單位應依風險評估結果擬訂年度稽核計畫，並經董事會通過；修正時，亦同。

發行機構內部稽核單位對營業、財務保管及資訊單位，每年至少應辦理一次一般查核及一次專案查核，對其他管理單位每年應至少辦理一次專案查核。內部稽核報告應交付監察人查閱，設有獨立董事或審計委員會者應一併交付，並於查核結束日起二個月內函送主管機關。