法規與監理 2024年6月

漂綠行為NG!

獨董及董事會如何把關永續資訊和永續報告書
撰文:駱秉寬

於ESG永續行動全球火熱,隨著COP27、COP28每年的盛大舉辦,全球的永續行動焦點開始集中在企業「漂綠」(Greenwashing)行為的氾濫,部分大型企業誇大行銷自己在永續、環境、生態上的作為,企圖誤導消費者或投資人來實現獲利。也因此,獨董及董事會如何把關永續資訊和永續報告書將變得相當重要!

聯合國古特雷斯(Antonio Guterres)秘書長說:「利用虛假的『淨零』承諾來掩蓋大規模的石油擴張應該受到譴責,這是集體欺騙,這種有毒的掩蓋恐會將我們的世界推下氣候懸崖,這個騙局必須終止」,強調「我們必須對淨零漂綠採取零容忍態度」,且提出第一份反漂綠報告取名「Integrity Matters」,有「誠信事項」和「誠信很重要」的雙關意涵。

不實在的永續 將受主管機關裁罰

儘管如此,仍有許多大型金融服務企業,熱衷於推廣行銷自家的永續商品或金融服務的宣傳,尤其是以永續商品作為主要訴求,企圖贏得消費者的肯定與認可,進而擴大商品的行銷,以及建立良好的企業社會形象,最後卻被員工檢舉或主管機關介入調查,戳破了永續「漂綠」的行銷手法或虛假面貌,反而讓自己的企業形象受損。各國監管單位紛紛拿出棍子棒打「漂綠」案件。

案例1 德意志資產管理公司被SEC重罰1,900萬美元

管理資產規模超過9,000億歐元(約新台幣28兆元)的德意志資產管理公司(DWS),因宣稱超過一半的資產採用ESG投資,德國檢方於2022年5月底發動搜查德意志銀行和旗下資產管理公司DWS,乃因DWS的永續相關基金誇大ESG作為,且有「漂綠」的疑慮,涉嫌誤導投資人,隨後DWS執行長沃爾曼(Asoka Woehrmann)請辭下台。2023年9月25日,DWS同意支付1,900萬美元以和解美國證券交易委員會(SEC)提出的漂綠指控,這項罰款金額為SEC在ESG標準對投資顧問公司所裁罰最高金額的罰款。

案例2 紐約梅隆銀行因涉嫌「漂綠」被SEC罰150萬美元

美國證券交易委員會表示,紐約梅隆銀行投資顧問公司(BNY Mellon)被指控在2018年7月至2021年9月間,「在為其管理的某些共同基金做出投資決策時,對環境(E),社會(S)和治理(G)等考慮因素做出錯誤陳述和遺漏」。

SEC指稱,BNY Mellon投資顧問在各種聲明中都曾表示或暗示,旗下基金的所有投資都經過ESG質量審查,惟部分基金持有的大量投資,均沒有任何ESG質量審查分數。

案例3 高盛涉嫌ESG「漂綠」被SEC罰款

2022年11月22日,SEC又指控高盛資產管理公司(Goldman Sachs Asset Management, LP)在管理2支共同基金和1個貼上ESG標籤的金融產品過程中涉嫌「漂綠」行為,後來高盛同意支付400萬美元的罰款。

事發於2017年4月至2018年6月,高盛投資團隊並未對所推銷的、標為ESG的一款產品制定任何ESG研究的書面政策和程序。等到有了書面政策和程序以後,在2020年2月之前高盛還是沒有認真遵守該政策與程序。

又根據資誠聯合會計師事務所(PwC)針對全球30個國家及地區,共345位以機構投資人為主的受訪調查,去年底發布《2023全球投資人調查報告》(2023 Global Investor Survey)顯示,投資人密切關注的兩大議題為「永續」與「新興科技」,高達94%投資人認為,企業永續報告中呈現的永續績效,有「漂綠」的可能。85%投資人表示,合理確信(Reasonable Assurance)可望使其對企業永續報告書內容具有信心。四分之三的投資人表示,企業管理永續風險及機會的方式,為其投資決策時考量的關鍵要素。

來到2024年,為了防止企業漂綠行為,並提供投資人更周延的決策資訊,讓投資人掌握環境社會及治理對財務和非財務的影響,國內、外的監管單位紛紛制定永續資訊揭露相關準則,讓許多國家的企業永續經營和資訊揭露面臨更多的挑戰。

歐盟與美國SEC都要求公司 永續相關議題要符合第三方確信機制

首先,歐盟於2022年年底通過「企業永續報導指令」(CSRD),於今年1月1日起實施,強制企業揭露永續資訊,且為了強化永續行動所推行的「企業永續盡職調查指令」(CSDDD)法案,受到政治角力的影響後公布的版本將適用範圍的企業減少了7成以上,且根據不同企業規模大小和營業額逐年公布其氣候資訊揭露,也要求了永續相關議題要符合「雙重重大性」(包括永續議題對公司財務的影響及環境、他人對企業的影響),必須經過第三方確信的機制。

其次,美國證券交易委員會於今年3月6日面對來自各方的壓力,通過了氣候相關揭露法規,這是繼IFRS永續揭露準則及歐盟永續報導準則發布後,一項重量級氣候揭露法案,儘管收到許多不同意見後有所讓步,暫時不揭露範疇3的盤查資訊,降低了資訊揭露的強度,後因美國聯邦第五巡迴上訴法院宣告終止該法案效力,SEC亦發出聲明暫緩該法案執行的決定,強調將捍衛該法規的有效性,並希望迅速解決此訴訟。

今年3月,歐洲議會也以壓倒性多數表決通過了商品標籤及廣告的反漂綠規範。舉凡「友善環境」、「生物可分解」、「天然」、「氣候中和」等綠色行銷話術企業都須拿出證據,否則將開罰。違反者除了被逐出公共市場,最高可處4%年營業額的罰款,新法將在2026年上路。5月英國金融市場行為監理局(FCA)的反漂綠新規《數位市場、競爭與消費者保護法》(Digital Markets, Competition and Consumers Bill)也要上路,將要求金融商品的說明必須「公正、清晰,且不會誤導消費者」,漂綠罰款最高可達企業全球年營業額的10%。

美國證券交易委員會去年通過,只要名稱中有ESG的基金至少要有80%的資產用於永續投資。加拿大政府則修訂《競爭法案》禁止誤導性的「漂綠」行銷。

台灣永續報告書宜由董事會通過審議 謹慎預防造假

而台灣證券交易所配合金管會政策,繼發布2022年上市櫃公司永續路徑圖、2023年永續發展行動方案以後,為健全及強化企業及董事會重視永續報告書編製責任,修訂永續報告書相關規定,新修正「上市公司編製與申報永續報告書作業辦法」。

我們認為從董事會角度來觀察,企業不論是在歐盟、美國或我國在永續資訊的揭露或永續報告書的真實性都有面臨違反契約的還要請第三方做確信調查與盡職調查:包括協助辨識、促請調查企業營運是否有不利於環境(E)、社會責任(人權)的影響行為。對於所揭露的訊息要經過第三方確信的調查、辨識其影響、預防潛在不利的影響、監督盡職調查結果,同時建立投訴程序及吹哨者(Whistleblower)的保護程序與政策。對於具有一定可信度ESG不當行為的檢舉或指控應事先進行企業內部調查,必要時趕緊補救。民事法律責任、司法管轄權及執法風險(參考GDPR,歐盟成員國被指示根據營業額比例設定罰款情形)、商業風險(例如是不良廣告漂綠行為者,可能會導致「終止」廣告播放)以及企業組織風險與應對策略等,甚至面臨惡意揭露不實的重大性訊息導致財務報表誤謬所引發的刑事責任問題;所以,當跨國大型企業董事會審查永續報告書或永續資訊揭露時,應務實了解所面臨的挑戰,除了反駁未經證實的檢舉訊息或報導內容,就政府進行的調查及訴訟正面辯護以外,應思考如何來辨識及移轉風險,做好危機管理。

首先,要重視永續資訊揭露策略:第一是協助企業建立ESG永續治理的方向、策略與目標,打造企業追求永續治理的決心。第二是企業永續資訊的揭露會不會影響潛在消費者的利益或購買選擇。第三嚴格審核擬訂的企業擬公開的永續訊息,事先訂定揭露訊息的策略(包括內部、外部策略及基準底線、一致性),做有利與不利的判斷。第四是協助辨識ESG所揭露的資訊避免誤導消費者或有實質性虛假的訊息,更要避免漂綠或不實陳述。第五要嚴格督促供應鏈廠商做好ESG準則,避免無謂的司法訴訟與行政監管。

而董監事也應該掌握各國管轄執法情況:一要確實督促業務、法務部門掌握各國的司法管轄權範圍。二要確保公司政策、程序和訓練符合各國的監管要求。三依企業營運情況,辨別和評估潛在的ESG漂綠調查和訴訟風險。四是企業須監控和分析國際資本市場的最新發展情況、監管趨勢與法院案例,作為董事會評估永續風險的考量。

還要請第三方做確信調查與盡職調查:包括協助辨識、促請調查企業營運是否有不利於環境(E)、社會責任(人權)的影響行為。對於所揭露的訊息要經過第三方確信的調查、辨識其影響、預防潛在不利的影響、監督盡職調查結果,同時建立投訴程序及吹哨者(Whistleblower)的保護程序與政策。對於具有一定可信度ESG不當行為的檢舉或指控應事先進行企業內部調查,必要時趕緊補救。

當公司面對執法部門永續調查及訴訟時,協助提供建議與專業諮詢,營造正面的企業形象與遵法情況,並捍衛企業社會責任與商業信譽。

這波全球資本市場前仆後繼祭出的ESG永續法規出爐,可看出永續揭露的浪潮不但從自願揭露持續推進至強制揭露;為了強化企業永續行動,各國監管機構更進一步強制企業須採取盡職調查,而這些永續法規,也逐步擴大獨立外部第三方確信的範圍及強度。

我國金管會和證交所修改內規建議董事會成員開始逐步參與、審查永續報告書,辨識其風險與責任,正可以凸顯出「永續治理的核心在董事會,而董事會的關鍵是獨立董事」,當董事會及管理機構要承擔集體共同責任時,獨立董事是無法在永續治理的領域缺席的!於是乎,獨董及董事會如何把關永續資訊和永續報告書,隨之成為ESG永續治理的熱門課題,如何強化重大資訊的揭露品質、透明度及一致性,建立使用者對資訊的信賴度,將是永續報導發展下的新趨勢。(本文作者為中華獨立董事協會理事長)

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)