法規與監理 2024年7月

落實公司治理七部曲

如何善盡金融業獨立董事職責?
撰文:駱秉寬

前上市櫃、興櫃公司約有超過7,000名以上的獨立董事,由於獨董人數的增加,導致對質的要求也相對提高,獨董的職責更顯重要。《證券交易法》的設計賦予獨立董事參與決策、監督控制以及專業諮詢的角色,在主管機關的設計架構下,一方面,獨董須由大股東提名、當選後就任,由無利益衝突的獨董所組成的審計委員會,是從董事會的高度來審視公司治理和內控內稽執行的成效,另一方面,獨董也是幫少數股東、小股東、主管機關和全體利害關係人協助監督,肩負金融業把關者的角色。

有關係難免有包袱 不忍過度監督?

然而,成為金融界董事會的成員深具挑戰,不僅所需的準備工作、專業素養、經驗、會議時間、次數和會議品質的確不如一般人所想的簡單容易,筆者有幸擔任中華獨立董事協會的負責人,經常有機會與許多優秀、專業的獨立董事、董事長、總經理、執行長、法務長、財務長和企金、個金、消金等高階主管就金融業的發展實況討論與交流,在談到如何善盡獨董職責處理爭議案件,一般人都沒有處理準則或不便明說,當獨董與金控、銀行、保險公司大股東有個人情誼或親朋友好關係時,更難免有包袱,不忍過度監督。

但是,獨立董事和一般董事、執行董事一樣要面臨財務報表不實或關係人交易、特別背信罪等民刑事責任的風險,沒有免責的權利,尤其財報不實案件更是投保中心向企業和董事會求償金額的最大宗,根據《證交法》第20條第2項,獨董如果無法證明已盡相當注意,且有正當理由可合理確信財務報表或公開說明書內容無虛偽或隱匿之情事者,對於投資人的損害就要負賠償責任,獨董與董事同樣負擔「推定過失責任」,責任不輕。

而金融業遇到舞弊案件、重大偶發事件(如理專A錢、金融業未克盡法遵、洗錢防制、資安等職責)時,獨董身為董事會成員,如何盡善良管理人的注意與忠實義務就成為重要的課題;再退一步而言,獨董如何在弊案中保障自身權益、捍衛股東權益也是一門必修的學分。筆者僅就個人多年來陸續擔任傳產、科技及金融業獨立董事的經驗跟大家分享,希望透過這個機會將許多蒐集、彙整的經驗,用文字整合起來,期能獲得金融先進們的回饋、激勵與指導。

第一 會議前詳閱議案內容、釐清疑慮

每次董事會7天前一定會收到董事會的議程,獨董首先要詳實閱讀董事會和審計委員會、薪酬委員會的議案內容,遇到專業不懂的議案或議題,基於保密原則,就要以去識別化的方式請教該領域專家(如律師、會計師、鑑價師、洗錢防制師、資安等),對於議案的說明和處理方式有疑慮,可事先以電子郵件或傳真方式將疑問點逐一表列出來,請教業務管理單位,請求在開會前詳實回覆以釐清疑慮,一方面避免會議時間不斷地提問發生事由,可能會拖延會議時間,可以事先掌握議案緣由及因應方案,進而提升董事會的開會效率,另一方面可以聚焦於會議議案內容的討論,充分交換不同論點;索取資料後如果仍有疑義,可於召開董事會或審計、薪酬、永續委員會時再行討論,以便能夠充分形成共識,同時避免議事時間過於冗長、效能不彰。

第二 了解授信案和實際稽核執行情況,勤與稽核主管、簽證會計師溝通財報

授信貸款案審核必先了解是否為關係人授信以外,授信條件、債權擔保品價值和借款人本身的資力、文件審核、資產價值鑑價、行業景氣、海外分行當地景氣、償還本息來源和授信計畫書的可行性都是審查重點,獨董務必用心核閱,不能以授信管理部都已經核閱無誤為由,開會交差了事。

獨董也要了解公司實際財務和稽核實況,透過公司治理主管或董事會秘書協助,定期或不定期與公司的稽核主管或簽證會計師私下溝通公司財報、稽核實況,對於重大有爭議案件也可以召開董事會前的「會前會」,以了解企業的實際財務狀況、內稽內控執行遇到的困難、重大偶發事件的發生緣由及改善方案,並對有爭議的重大案件處理方式和問責機制做有效溝通。

第三 仔細、詳讀財報數字和意義,掌握最新訊息變化

對於金融業每一季(每一月)的財務報表要仔細審閱,應該請求財務會計部門對於財務數字與前一季或前一年度同期有落差,如果對比相差15%至20%以上的數字,就請財會單位事先在財務報表說明欄具體指出數字異常原因及理由、改善方案,以減少董事會或審計委員會就4項財務報表逐欄詢問,尤其是每一季的季報、半年報及年報,更要詳實審視,對於會計師查核簽證「關鍵查核事項」的事由及實際查核情形要能夠掌握。

財報也要與其他金融同業相參照比對,比較具體落差和了解實際原因,除了營收、每股盈餘(EPS)和淨利、呆帳金額和呆帳覆蓋率以外,也要了解資產報酬率(ROA)及股東權益報酬率(ROE)數據的成績,代表的正是公司的經營效率,對股東和資產運用情況的成績單,才能了解公司營運的最新動態與同業變化。

第四 掌握公司重大訊息和內控內稽執行情況

金融機構尤其是銀行,除了常務董事會以外,並不是每週或每2週開會,對於企業本身發布的重要訊息也要隨時關心,不論人事異動,或財務報告(或景氣預測),或法人說明會,或重大偶發事件,或主管機關獎勵裁罰等訊息也要隨時了解,這是一般董事和獨董比較不會特別注意的事項,其實有空也可以翻閱公司年報和永續報告書,這些資訊揭露董事會未必會接觸到,只有透過自己做功課、隨時更新,才能隨時掌握對公司及產業變化的趨勢。

至於董事會稽核部所做的稽核報告也不能偷懶略過,這些都是稽核部門人員辛苦查核的結晶,固然現在還沒有達到數位稽核的程度,卻都是查核每一單位的晴雨表,獨董固定查閱稽核實況,才能了解總行、分行、海外分行和各個營業單位的缺失,有沒有發生主要缺失、次要缺失是否過多和過於頻繁?稽核人力、專業、工具、結論、改善措施有沒有落實,都是值得觀察的重點。

第五 進修不同領域專業知能,強化本身素養

獨董固然在某些金融領域學有專長,例如具有金融科技、併購、創業投資、風險投資、私募基金、風險控管、保險、證券、承銷公司債、票券及法律、企管、財務會計等專業知能,但是,董事會議案涉獵的範圍顯然大於獨董個人所具備的專長,例如洗錢防制、資訊安全、公平待客、普惠金融、信託、區塊鏈、生成式AI、法遵事項及風險控管等,這些領域一般都不是獨立董事專長所在。

由於經濟發展持續進步、金融商品、服務不斷推陳出新、主管機關監管力道也逐步加強、新的金融產業知識不斷增加,涉獵的議題範疇也越多越廣,身為董事會的成員,自然需要隨時進修;既然不可能了解每一個領域的專業知識,應該要多參加不同類別、領域的專業培訓課程,吸收多元的產業知識、最新治理訊息和永續治理觀念,可惜有少數獨董以專業人士自許,不願進修專業培訓課程,可能對進修課程的意義有所誤解。

第六 關注公司治理運作和ESG永續評鑑項目、績效

我國自2014年開始辦理第一屆公司治理評鑑的工作,迄今已10年,評鑑指標逐年更新,融入新的評比項目,在國內資本市場建立了一定的公信力,考量近年ESG(環境、社會、公司治理)成國際趨勢,金管會已經規劃2026年起轉型為「ESG永續評鑑」,而且,公司治理評鑑已增加「推動永續發展」構面指標內容及權重。

獨董可以針對公司治理評鑑項目企業排名不佳有需要改善的項目,在董事會或功能性委員會與經營管理層逐一檢討是否有需要補強或改善的地方,從企業文化和治理作業流程來提升公司治理的成績,更要督促企業盡早訂定永續計畫的目標、策略和具體行動計畫,並落實執行第三方獨立機構的「確信」查核;如果負責人或大股東對於治理評鑑不夠重視或是虛與尾蛇,就可以得知企業對於永續治理的重視程度。

在ESG永續評鑑方面,國際知名評鑑機構MSCI、CDP、CHRB、DJSI、ISSESG、Sustainalytics以及FTSE Russell在涵蓋E、S及G的主題與指標、範圍不一,有不同的權重和計分方式,金管會已明確表達將透過公司治理評鑑和永續報告書提升競爭力、同時希望透過永續金融評鑑制度以發揮金融市場影響力,從金融業落實貸後管理以引導企業善盡社會責任,這是獨董需要密切注意的政策方向,同時在董事會或永續委員會審查永續報告書時要強化本身的專業職能和盡職審查,才不至於在永續發展行動方案缺席。

第七 多與同業交流、了解產業現況與趨勢,審查議案別怕得罪人

金融業訊息變化多且快,國際趨勢發展和同業腳步也不能置之不聞,獨董也經常要與同業交流,在不透露商業機密的前提下,可以與金融專業人士、學者專家做專業的意見交換,尤其是有關的論壇、研討會或主管機關政策說明、新聞報導、金融時事評論更不能錯過,才不會有訊息落差。

如果對董事會議案有疑慮,獨董不要怕提不同意見會得罪人,目前投保中心民事團體求償訴訟進行中的案件仍有74件,其中有關獨董財報不實部分求償金額就高達新台幣80億元以上,即使現在有「董事責任險」保障,一旦民刑事官司在身,相信沒有人會開心,還有民事求償部分通常要等到負責人刑事財報不實罪判決確定後才開始審理,所以,民事求償案件審理都長達8、9年以上,可能獨董卸任以後才會面臨真正的訴訟,造成許多獨董退休以後70、80歲還要準備訴訟官司,真是划不來!

所以,董事會議案尤其是年報財務報表、稽核案顯有疑義或關係人交易案件程序和實體內容不妥,一定要要勇敢發言提出疑問或改進措施,如果大家都不發言,會形成集體默認的情境,業管單位也會養成應付了事的心態,只要有人率先勇於發言,就會形成不輸人的「羊群效應」,一旦形成集體發聲,也會讓經營層有所警惕,有了議事記錄的質疑或反對意見的「保護傘」,一旦上法院,還能向法官請求免責或減輕責任。(本文作者為中華獨立董事協會負責人)

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)