法規與監理 2025年2月

台灣可思考首席獨董制度

撰文:駱秉寬

據亞洲公司治理協會(ACGA)最新公司治理觀察報告,我國在亞洲12個國家的評比中,與新加坡並列第3名,寫下歷年最好的成績單;能有如此優異成績的表現,除了上市櫃企業益加重視公司治理的績效以外,金管會連續2年發布永續發展行動路徑圖和深化公司治理規範的改革措施,以及審計與監管單位的表現獲得國際肯定。

在ACGA的7項評比項目中,台灣在「投資人」(investers)及「上市公司」(listedcompany)兩個項目仍有進步的空間。首先,是台灣於「投資人」項目的17個議題當中,在「外資機構投資人是否有參與股東大會」、「國內機構投資人(尤其是退休基金)是否有盡職治理扮演領頭羊的角色」、「委託書代理服務是否有正常運作」以及「國內有沒有組成協會團體來促進改善公司治理」等議題都是零分,充分說明台灣在機構投資人的參與上仍有不足。

其次,是在「上市公司」項目,台灣在14個議題中,「是否具有獨立董事長或首席獨立董事或資深獨立董事」是零分,還有「提名委員會是否由獨立董事擔任主席」分數也不高;ACGA所評比的亞洲12個地區選取市值前15家大型企業所設立的「董事提名委員會」來做比較,我國僅3家是由獨董擔任委員會主席,獨立性較不足。依照外資機構法人對「獨立性」的標準,提名委員會的主席由非獨董擔任,或者提名委員會的人數獨董不過半,董事會的獨立性就有問題。

我國尚乏首席獨立董事制度

ACGA大中華區研究主管王湖指出,ACGA在「激活亞洲」(Activating Asia)的研究報告中,主要聚焦在CG Watch2023兩大表現欠佳項目「上市公司」、「投資者」,我國在「上市公司」績效排名僅第5名,主要原因是:(1)大型企業很少設有提名委員會;(2)沒有建立「首席獨立董事」制度;(3)沒有揭露董事、高階主管等單獨薪資;(4)審計委員會獨立性和實質運作仍有進步強化的空間;(5)董事會多元化(包括女性董事、外國董事比例等),應做出高於法規的要求,在「上市公司」項目當中,台灣的弱項就是「董事薪酬揭露」、「提名委員會的獨立性」及「提名委員會中的女性董事席次」。

再根據貝萊德的調查,亞太地區許多國家的公司治理面臨董事會獨立性的挑戰,影響到獨董履行責任的能力,例如缺少「獨立董事長」或「首席獨立董事」、獨立董事與少數股東接觸不夠多、擔負有過多的責任,以及缺乏獨立性的「提名委員會」的提名、改選程序。如果董事會缺乏獨立性,基金公司就不會投票支持董事會所提出的續任董事名單,說明「機構投資人」很重視董事會的獨立性。

在董事會及功能委員會之獨立性方面,獨立董事長(Independent Board Chair)在澳洲非常普遍,由於監管單位積極推動,首席或資深獨立董事在新加坡和馬來西亞也逐步增加中,但是在亞太其他資本市場有設立獨立董事長和首席獨立董事的情況並不常見。

其實,當董事會有一位高級、資深的「獨立董事會主席」時,較能有效地監督和提供專業諮詢意見給經營管理層,一般稱之為非執行業務的「獨立董事長」。例如「護國神山」台積電的董事會10席董事中,有6名獨董和4席董事,倘若由6席獨董中推選一位擔任董事長,那就是「獨立董事長」(或稱「非執行董事長」),加上以獨董為主要成員的董事會就是具有獨立性的「獨立董事會」。

當董事會的主席為實質控股大股東,而不具備獨立性時,可由董事們共同推選一名獨立董事擔任會議主席,稱之為「首席獨立董事」(Lead ID或稱LID)。「首席獨董」則透過董事會或審計、薪酬等功能性委員會的議程安排,確保公司的經營者向董事會提供足夠的議案訊息,並鼓勵獨董參與董事會議的討論,加強獨董與經營管理層的溝通,研商企業可能面臨的風險。

現階段國泰世華銀行和台中商銀的董事長,均是先擔任獨立董事後表現優異,後辭職轉為擔任該銀行的董事長,是較具代表性的案例。然在我國上市櫃公司中有7成左右為家族企業,家族創業的第一代或第二代現階段企業文化尚不夠成熟或未形成氣候交給專業人士經營時,建立「首席獨董」不失為階段性可行的方案。

首席獨董的功能在解決「控制股東」和「少數股東」間的潛在利益衝突,當董事會賦予「首席獨董」與少數股東溝通,代表董事會鼓勵與利益關係人間建立溝通議合的管道,對公司是有益處的。

對照香港地區公司治理排名由過去的前2、3名跌落到第6名,面臨積極改革的聲浪很大,ACGA對香港企業管理守則改革案提出建議:證交所應採取更大膽的措施以增強投資者信心,包括由獨立股東投票選出獨立董事,並推動獨董比例過半數。香港目前董事會主席多擔任提名委員會的主席,ACGA要求委員會主席應由獨立董事擔任,以防止董事會主席或行政總裁擔任提名特定偏好人選作為董事的情況。

ACGA也建議,香港應該引入首席獨立董事的機制,以促進股東與公司的溝通,特別是在處理關聯交易等涉及利益衝突的問題。自ACGA於1999年在港成立以來,香港上市企業至今不願追求更高的公司治理標準,港企遵守治理守則的程度在「形式」上尚可,但許多家族企業對於公司治理的新規範持保守態度,香港的企業治理規則應該大步「前進」,特別是在加強獨立董事的獨立性和促進董事會多元化方面。

首席獨董起源於美國

普及歐洲LID的實施早已存在於美國,因為在美國資本市場中,將首席執行官(CEO)和董事會主席職能合併是過去長期的作法,後因批評日益增多,自2011年起,單軌制董事會結構(沒有設立監事會)的美國上市公司選擇合併或分開CEO和董事會主席的職責,這導致了LID角色的重要性顯著提高,被廣泛認為是美國資本市場中的一種折衷方案。

在歐洲的單軌制董事會結構市場中,英國、法國、瑞士和愛爾蘭都已普遍採用LID(也稱為「資深獨立董事」)。在以雙軌制(另設有監事會)董事會組織為主的德國,過去3年首次有3家上市公司在監事會中引入LID,這些公司的董事會主席普遍被認為是非獨立的。由於CEO和董事會主席的角色已分開,如果董事會主席不具獨立性,LID可在單軌和雙軌兩種制度的董事會系統中擔任一定角色。

推選首席獨立董事須具獨立性

LID必須對整個董事會保持獨立,尤其是對董事長保持獨立,避免產生可能的利益衝突,以便在必要時能夠挑戰董事會的主席。所以,LID不應由董事長任命,而應由全體股東選舉的董事會全體成員選出,作為補充董事會主席的獨立角色。

一旦LID被選舉產生,投資人期望兩個職位之間的職責劃分清晰且透明,因為LID並不是要取代董事長,LID應該在「企業利益」和「投資者利益」的基礎上,具備獨立判斷能力,並能夠在支持董事長和承擔具體責任之間找到平衡,同時還需具備卓越的人際交往能力,比其他董事掌握更多有關公司、市場環境及其利害關係人的知識與訊息,所以,LID最好由現任董事會的成員來擔任。

我國目前上市櫃企業治理績效持續提升、逐步前進,獲得國際治理機構一定程度的肯定;然而,在公司治理質的提升上可以再強化,才可以贏得國際機構投資人或大型基金的信賴,進而提升企業市值,壯大我資本市場的規模。

而金融業向來是我國公司治理進步的領頭羊,不論永續金融評鑑和公司治理評鑑成績均領跑其他的科技、傳統產業,成為治理績效的重要先行指標。當國際上持續強化公司治理制度在董事會建立首席獨董之際,我國不可成為國際治理趨勢下的缺席者,此時,金融業適足以擔當董事會建立有序治理機制的先驅者。

在董事會「獨立性」制度上的改革,可以參考歐美上市公司的組織架構,例如AI巨擘OPENAI公司委聘「獨立董事長」領導董事會;在我上市櫃公司多為家族企業時(或者如科技大廠專業經理人董事長持股不多的情況下),可以設立「LID首席獨董」賦予其與少數股東及利害關係人溝通的角色與功能,而「董事提名委員會」則由過半數的獨董組成、獨董擔任主席,透過提名、任命和解聘程序,以確保下一任的董事(獨董)具有必要的資歷、時間和薪酬來履行職責,監督大股東與利害關係人的交易,來強化董事會的獨立性,才能與最新的國際公司治理趨勢接軌,提升我國上市公司的治理績效與市場價值。(本文作者為中華獨立董事協會理事長)

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)