法規與監理 2025年1月

應負永續報告書把關之責

董事會永續治理的挑戰
撰文:駱秉寬

2023年9月,屏東高爾夫球製造廠明揚大火導致嚴重傷亡,立委質疑該公司永續報告書的職場安全竟通過認證,是否淪為作文比賽等,成為上市櫃公司矚目焦點。

ISO認證卻釀巨災 社會責任遭質疑

從明揚2021年CSR企業社會責任報告書來看,公司有關懷員工、推廣藝文和發放公益獎學金等作為,且揭露獲得ISO14001以及ISO45001認證等云云。顯然企業社會責任報告書內容與廠房實際運作有明顯落差,才導致此不幸事件發生。

然而,通過ISO環境保護管理和職業健康安全管理的認證,火災事故發生時,有沒有通報正確的管制物品、數量和危險性,管制物品的放置是否符合建築物使用類組和消防安檢等規範,有沒有員工的職場安全健康保護措施呢?這些疑慮,身為公司永續治理最高機構的董事會對於永續報告書的真實性有無盡審查之責?董事(獨董)對於不實的永續報告書應該擔負如何的法律責任?啟人疑竇。

在國際永續治理的浪潮中,上市櫃企業ESG永續報告書(過去是CSR企業社會責任報告書)所提供資訊已成為利害關係人檢視企業永續經營表現及進行投融資決策的重要參考依據。金管會自2025年起要求全體上市櫃公司都必須編製永續報告書。

逾4成上市櫃未申報永續報告書

目前2024年上市櫃公司共有1,852家,其中強制申報者578家,自願申報者442家,金管會統計,僅1,021家完成永續報告書的申報,占比約56%,這代表還有44%尚未完成申報。且金管會要求必須取得第三方確信的強制對象,包括金融業、食品業、化工業及餐飲占營收50%以上的公司,目前僅有613家取得第三方確信,對於未能如期完成申報的公司,證交所將依照相關管理規則處以違約金,首次未完成將罰新台幣1至3萬元,累次或情節重大者將面臨5至100萬元的罰款。

雖證交法尚未強制要求永續報告書須經董事會決議通過,應屬公司自治事項,然而,證交所與櫃買相關作業辦法規定永續報告書「宜」經董事會決議通過,且已列入公司治理評鑑指標,若永續報告書經提報董事會討論案並通過者,於評鑑上即可得分。相關規定亦載明永續報告書的編製,仍須依公司內部控制制度進行管理,應屬董事會及審計委員會的監督範疇,董事(獨董)有不可或缺的職責。

同時,為了防範「漂綠」風險,金管會於2023年發布「上市櫃公司永續發展行動方案」,明確要求全體上市櫃公司應強化永續報告書揭露品質,以及加強永續報告書確信機構管理。

2026年起我國逐步接軌IFRS永續揭露準則

更值得重視的是,金管會於2023年正式發布我國接軌IFRS永續揭露準則藍圖,進一步接軌國際準則,持續提升永續資訊報導品質及可比較性,以強化資本市場信賴,包括將以直接採用(Adoption)方式接軌IFRS永續揭露準則,2026年首次適用之IFRS永續揭露準則須包含「永續相關財務資訊揭露之一般規定」(IFRS S1)及IFRS第S2號「氣候相關揭露」準則草案(IFRS S2),2027年及以後金管會將視ISSB研訂永續揭露準則情形,逐號評估認可各號IFRS永續揭露準則。此外,適用對象及時程方面,規劃自2026至2028會計年度,分三階段適用IFRS永續揭露準則。

永續報告書及永續資訊專章不實 恐觸證交法

永續報告書,本來是企業揭露非財務資訊與ESG風險對財務的影響,既然是非財務資訊與ESG風險對財務的影響,尚不屬於證交法規定應申報或公告之「財報業務文件」,即使揭露可能不全、不夠完整,依現行法規,尚難課以董事(獨董)證交法的刑事責任。

然而,依照金管會的規劃,2026年起永續報告一旦接軌IFRS永續揭露準則,將有永續資訊對企業財務風險的評估與預測,即涉及財務資訊的揭露,倘若重要內容有虛偽不實的數據,或隱匿重要關鍵訊息,且該數據或資訊足以誤導投資人的決策判斷,即有永續報告書不實或「漂綠」情事,即可依照證交法課以刑事責任,不可謂不重。

兩個不確定的問題

但依照證券交易法有兩條相關的處罰條文,衍生兩個不確定的問題:首先不實永續報告書是依照證交法第171條或第174條處罰?依照證交法第171條規定,上市櫃公司提供虛偽不實的永續財務資訊者,可處以3年以上10年以下有期徒刑,得併科新台幣1,000萬元以上、2億元以下罰金,並得請求民事損害賠償。而依照證交法第174條規定,上市櫃公司於依法或主管機關基於法律所發布之命令規定之帳簿、表冊、傳票、財務報告或其他有關業務文件之內容有虛偽之記載者,得處以1年以上、7年以下有期徒刑,併科新台幣2,000萬元以下罰金。

其次,所謂上市櫃公司的「行為之負責人」,主要是指參與審議永續報告書的董事(獨董)。有董事(獨董)以為,只要開董事會時不要審查永續報告書或年報中的永續資訊專章,就可以減免其責任;其實不然,目前大多數的上市櫃公司董事會很少審議該企業「年報」,但是「年報」不實,依照證交法第36條規定,董事(獨董)仍然有負擔相當的法律責任,同理可知,涉及財務資訊不實的永續報告書也應有相同的適用。

目前學者見解,上市櫃企業倘發布不實財務數據的永續資訊,傾向於適用證券交易法第171條規定加以處罰,且處罰對象為實際執行業務的行為負責人。

美國SEC重罰不實ESG業者

以美國最近案例,德意志銀行子公司――德意志資產管理公司(DWS),遭指控聲稱有一半以上投資決策納入ESG的基礎過於誇大,有「漂綠」之嫌,DWS於2022年支付1,900萬美元與美國證券交易委員會(SEC)和解,是目前為止SEC對違反ESG最嚴厲的處罰!後來,美國SEC也指控紐約梅隆銀行(BNY Mellon)投資顧問有ESG錯誤陳述和疏漏等情況,以及指控高盛資產管理公司(Goldman Sachs Asset Management)無法遵守涉及ESG投資的政策和程序,處以數百萬美元的罰緩或和解金,這些都是上市企業違反「漂綠」規範而被處以罰金的案例,對企業形象影響巨大,足以借鏡。

當國際社會越加重視「漂綠」風險,永續報導的趨勢也由自願性的永續報告書走向強制的法定報告之際,金管會修正「年報」編製規定,新增「永續資訊專章」,並規範國內上市櫃公司於年報專章及永續報告書依IFRS永續揭露準則揭露相關資訊,並提前與財務報告同時公告,就非常值得董事(獨董)的高度重視。

從明揚大火事件可以看出,真正的企業社會責任,應該是企業對社會的正面影響,而不只是企業的聲譽與形象;從資訊揭露風險來看,企業千萬不可以忽略永續報告書的真實性與精確度,尤其是董事會是永續治理的最高管理機構,擔負不可轉移的責任與義務,一旦揭露不實,後果難料,既然企業年報虛偽不實要擔負財報不實的責任,同樣的,董事(獨董)也不能以沒有審議永續報告書作為推卸責任的說詞。

由於提升永續資訊的品質不僅有助於防範「漂綠」行為,提升大眾對企業的信任度,進而建立良好企業聲譽及市場競爭力,引領上市櫃公司邁向永續發展,督導永續發展的永續報告書「應」提報董事會審議,董事(獨董)應盡忠實義務詳加審查永續資訊,以健全上市櫃公司董事會重視永續報告書的編製責任,並優化董事會對於永續治理之監督功能。(本文作者為中華獨立董事協會理事長)

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)