法規與監理 2025年1月

溝通與賦權打造韌性金融

金管會檢查局長童政彰談監管升級2.0
撰文:蘇偉華

管會主委彭金隆所提出的「安全與發展」並重的理念,為金融監管指引了清晰的方向。檢查局在其中扮演著關鍵角色,不僅要確保金融機構的穩健運作,更要透過有效的監管,預防潛在風險,促進金融業的健康發展。

檢查局局長童政彰認為,溝通與賦權是提升金檢效率的關鍵。透過更開明的溝通方式,來增進監管人員與金融機構之間的互動,更能讓金融機構了解監管重點,主動改善。同時,賦予稽核人員更大的權限,使其能更靈活地因應複雜多變的金融環境,讓金融機構的稽核人員當監理官的神隊友,對提升監管的效率大有助益。

溝通與賦權 金檢效能的雙核心

童政彰認為,溝通最大的挑戰在於心態調整,監理官與業者需透過對話建立理解,監理過程不僅要指出缺失,更要提供建設性的解方。至於賦權,童政彰指出資源有限下,應延伸稽核力量,確保獨立性與專業度,例如總稽核離職須呈報主管機關,避免不當壓力影響稽查效度,機構也要配置適足訓練資源予稽核部門。

童政彰以多年豐富的實務經驗,提出了一系列具體的監管策略,他認為其中的核心仍在於風險管理。透過風險導向的監管方式,將有限的監管資源集中於高風險領域,可以更有效地防範系統性風險。此外,培養監管人員具備敏銳的市場洞察力,才能及早發現潛在的風險。

童政彰補充,監管不僅是發現問題,更重要的是提供解決方案。監管人員應以「具建設性的思維」與金融機構溝通,如同主委秉持「以法律人、以理服人」的原則,在指出問題的同時,更要提供具體的改善建議,協助其改善內控機制,提升風險管理能力。這種「治癒」型的監管方式,不僅能有效解決問題,還能促進金融機構的健康發展。

洞悉市場演變:金融風險的系統性觀察

童政彰常與同仁分享,過去20年來金融市場歷經多次系統性風險,包括(民國)90年代末期的企金危機、雙卡風暴、連動債及TRF銷售缺失。仔細分析這些事件的演變,可以發現市場風險轉移的軌跡:從企金信用風險轉向消金信用風險,再轉變成銷售行為失序所造成的信譽風險。這些現象背後蘊含著金融風險轉移的「端倪」,金檢資源需要精準聚焦,做到「滙聚力道在刀口上」,才能有效防範潛在的系統性風險。

面對日益複雜的金融市場,童政彰強調差異化監理的重要性,扣合以風險基礎方法(RBA)的推動。RBA的核心在於辨識高風險領域,並透過有限的監理資源,優先處理關鍵問題,提升監理效能。在監理策略上,童政彰堅持「抓大放小」的原則,強調質化與量化指標並重,兼顧全面性與重點性。

量化指標方面,檢查局會優先篩選異常的財務數據,例如:以商業銀行來說,當它的利息收入明顯偏低,而投資收入占比異常偏高,則需特別審視該機構的投資部位是否存在與市場同業顯著差異,進一步評估風險水準。質化指標則依賴場外監理的資訊回饋,包括客訴案件的數量與內容、利害關係人交易、董事會報告揭露的公司治理情況,以及日常監理中發現的風控缺失等,這些都是金檢重點關注的項目。

對於內稽內控過嚴是否會影響便民的問題,童政彰強調仍應回歸風管本質,金融機構須具備風險辨識能力,而非一味去風險化,例如在防杜人頭戶的議題中,銀行對跳槽族,應透過監控異常金流,而非直接拒之門外,確保風險管理的資源配置適當,並兼顧普惠金融。

金檢三維度 打造競爭力

對於主委強調「金檢三個維度」,即密度、強度與透明度,讓業者明確理解金檢重點,並保持對話,提出建設性檢查意見。童政彰解釋,風控並非只是發現問題,從一線到二線強化內控,確保個案問題不擴散為系統性風險。換句話說,金檢應積極扮演預防危機的角色,透過高效的風險管理與透明監理,平衡安全與發展需求,致力穩健、透明且具競爭力的金融市場環境。

在監管過程中,童政彰同樣強調「以人為本」的原則。監管人員不僅要具備專業知識,還要具備良好的溝通能力和同理心。透過與金融機構的溝通,了解其業務運作的實際情況,才能制定出更具針對性的監管措施。

此外,數據的重要性同樣不可或缺。童政彰解釋,透過大數據分析,監管人員可以更全面、更深入地了解金融市場的動態,及早發現異常情況。金融監管是一個動態的過程,需要不斷調整與完善。透過強化溝通、賦權、風險導向監管等措施,可以有效提升監管效能,實現「安全與發展」的目標。

面對日益複雜的國際金融環境所帶來的諸多挑戰,如何強化金融監管,以因應全球化帶來的風險,並維持金融體系的穩定運作。童政彰強調國際金融監管合作的重要性,尤其國銀在海外布點已超過650處,透過與國外金融監理機關的密切合作,分享資訊、共同檢查,才能確保金融機構海外營運的健全。然而,國際監管合作也面臨著諸多挑戰,如不同司法體系、文化差異以及資訊交換的技術障礙等。因此,應該持續深化與各國監理機關的合作與交流,建立更完善的資訊共享機制,並積極參與國際金融監管標準的制定。

其次,國內金融監管亦面臨多方關注,如立法院、社會輿論等,以及金融創新的快速發展,也都對監理機關提出了更高的要求。一方面,監理機關必須快速回應民意,確保金融服務的公平性與透明度;另一方面,又必須跟上金融創新的步伐,防範新興風險,因此監管效率更顯至關重要。

乘風破浪展韌性 金融體系穩健前行

台灣金融體系歷經多次金融淬鍊,展現出強韌的生命力。然而,在全球化浪潮下,地緣政治、氣候變遷、金融犯罪等新型態風險層出不窮,對金融穩定構成日益嚴峻的挑戰。因此,持續強化金融安全網,以因應不斷變化的風險環境,是當前金融監管的重要課題。

童政彰強調,金融檢查的目的不僅在於發現問題,更在於創造價值。監理官鼓勵金融機構勇於創新,同時兼顧風險管理與客戶保護。強化金融安全網是實現金融穩定的關鍵,透過不斷完善監管制度、提升監管科技、加強國際合作,打造更安全、穩健、包容的金融生態系。最後童政彰期許稽核主管應具備兩個C,「勇氣」(Courage)與「同理心」(Compassion),在發掘問題的同時,也協助金融機構順利發展,提供更穩健優質的金融服務,創造永續發展的未來。

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)