風險管理

第一章 總則

第一條 訂定目的
為建立完善之風險管理制度，穩健經營業務朝企業永續發展目標邁進，遂訂定本公司之風險管理實務守則，以強化風險管理制度。
第二條 風險管理目標
風險管理之目標旨在透過完善的風險管理架構，考量可能影響本公司目標達成之各類風險加以管理，並透過將風險管理融入營運活動及日常管理過程，達成以下目標：
一、實現公司目標；
二、提升管理效能；
三、提供可靠資訊；
四、有效分配資源。
第三條 風險管理原則
本公司建立風險管理制度，依下列原則為之：
一、
整合性：將風險管理視為所有活動的一部分。
二、
結構化和全面性：以結構化和全面性的方式推動風險管理，獲得一致且具
可比較性的結果。
三、
客製化：依據本公司所屬環境、規模、業務特性、風險性質與營運活動，
制定適切的風險管理框架與流程。
四、
包容性：將利害關係者的需求與期望納入考量，提高並滿足利害關係者對
本公司風險管理的瞭解與期待。
五、
動態：適當並及時預測、監控、掌握和回應本公司內部和外部環境的變化。
六、
有效資訊利用：依據歷史、當前的資訊及未來趨勢，作為建構風險管理的
基礎，並將資訊及時、清晰地提供利害關係人參考。
七、
人員與文化：提升治理與管理單位對風險管理之重視程度，並透過各層級
人員完善的風險管理相關培訓機制，提升本公司整體之風險意識與文化，
將風險管理視為本公司治理與日常作業的一部分。
八、
持續改進：透過學習與經驗，不斷改善風險管理與相關作業流程。
第四條 建立風險管理政策與程序
應考量本公司及子公司整體之規模、業務特性、風險性質與營運活動，訂定適用之風險管理政策與程序，並至少涵蓋以下項目：
一、風險管理目標；
二、風險治理與文化；
三、風險管理組織架構與職責；
四、風險管理程序；
五、風險報導與揭露。
上述風險管理政策與程序應依據本公司內、外在環境之變遷隨時檢討，俾確
保制度之設計與執行持續有效。
第五條 風險管理政策與程序之審查與施行
本公司訂定之風險管理政策與程序應由本公司指派之風險治理單位進行審查，
並經董事會核定後實施。
相關政策與程序應於本公司網站或公開資訊觀測站中進行揭露。

第二章 風險治理與文化

第六條 建置完善的風險治理與管理架構
本公司考量公司規模、業務特性、風險性質與營運活動，建置完善的風險治理與管理架構，透過董事會、功能性委員會及高階管理階層的參與，使風險管理與本公司之策略、目標產生連結，定調本公司重大風險項目，提升風險辨識結果之全面性、前瞻性與完整性，並向下宣導及展開對應之風險控管與因應，以合理確保本公司策略目標之達成。
第七條 深化風險文化
本公司推動由上而下的風險管理文化，透過治理單位與高階管理階層明確的風險管理聲明與承諾、設置並支持風險管理單位、提供全體員工風險管理相關專業訓練等方式，將風險管理意識融入至日常決策及營運活動中，形塑全方位的公司風險管理文化。
第八條 提供足夠資源與支持
本公司之風險治理與管理單位應重視與支持風險管理，提供適切資源使其有效運作，並對風險管理有效運作負責。
第九條 整合與協調
本公司推動風險管理應整合公司內各單位職責，全體共同推動執行，透過各單位間之溝通、協調與聯繫，落實整體業務之風險管理。

第三章 風險管理組織架構與職責

第十條 風險管理組織架構
本公司除以董事會作為風險管理最高治理單位外，得考量公司規模、業務特性、風險性質與營運活動，設置隸屬於董事會之風險管理委員會，並指派適當風險管理推動與執行單位。
第十一條 設置風險管理委員會
本公司為健全與強化風險管理機能，宜考量公司規模、業務特性、風險性質與營運活動，設置隸屬於董事會之風險管理委員會，進行風險管理相關運作機制之監督，且該委員會過半數成員宜由獨立董事擔任，並由獨立董事擔任主席。
風險管理委員會應對董事會負責，並將所提議案交由董事會決議。
風險管理委員會應訂定組織規程，並經由董事會決議通過。組織規程之內容應包括委員會之人數、任期、職權事項、議事規則、行使職權時本公司應提供之資源等事項。
本公司亦得考量規模大小，以其他功能性委員會或工作小組形式，替代風險管理委員會之職能。
第十二條 設置風險管理推動與執行單位
本公司應指定或設置適當的風險管理推動與執行單位，負責規劃、執行與監督風險管理相關事務。該單位得考量公司規模、業務特性、風險性質與營運活動，指派專責單位或以任務編組方式組成。
第十三條 董事會之職責角色
董事會之職責角色如下：
一、核定風險管理政策、程序與架構；
二、確保營運策略方向與風險管理政策一致；
三、確保已建立適當之風險管理機制與風險管理文化；
四、監督並確保整體風險管理機制之有效運作；
五、分配與指派充足且適當之資源，使風險管理有效運作。
第十四條 風險管理委員會之職責角色
風險管理委員會之職責角色如下：
一、審查風險管理政策、程序與架構，並定期檢討其適用性與執行效能；
二、核定風險胃納（風險容忍度），導引資源分配；
三、確保風險管理機制能充分處理本公司所面臨之風險，並融合至日常營運
作業流程中；
四、核定風險控管的優先順序與風險等級；
五、審查風險管理執行情形，提出必要之改善建議，並定期（至少一年一
次）向董事會報告；
六、執行董事會之風險管理決策。
第十五條 風險管理推動與執行單位之職責角色
風險管理推動與執行單位之職責角色如下：
一、擬訂風險管理政策、程序與架構；
二、擬訂風險胃納（風險容忍度），並建立質化與量化之量測標準；
三、分析與辨識本公司風險來源與類別，並定期檢討其適用性；
四、定期（至少一年一次）彙整並提報本公司風險管理執行情形報告；
五、協助與監督各部門風險管理活動之執行；
六、協調風險管理運作之跨部門互動與溝通；
七、執行風險管理委員會之風險管理決策；
八、規劃風險管理相關訓練，提升整體風險意識與文化。
第十六條 營運單位之職責角色
各營運單位之職責角色如下：
一、負責所屬單位之風險辨識、分析、評量與回應，並於必要時建立相關危機管理機制；
二、定期提報風險管理資訊予風險管理推動與執行單位；
三、確保所屬單位風險管理及相關控制程序有效執行，以符合風險管理政 策。

第四章 風險管理程序

第十七條 風險管理程序
風險管理政策應包含風險管理程序，且風險管理程序應至少包含：風險辨識、風險分析、風險評量、風險回應，及監督與審查機制五大要素，並載明各要素實際執行之程序與方法。
第十八條 分析與辨識公司風險來源與類別）
風險來源與類別一般可歸納為以下構面，主要包含：策略風險、營運風險、財務風險、資訊風險、法遵風險、誠信風險、其他新興風險（如：氣候變遷或傳染病相關風險）等。
風險管理推動與執行單位依據公司規模、所屬產業、業務特性、營運活動，並考量公司永續（含氣候變遷）各面向規範重點進行全方位風險分析，分析與辨識本公司適用之風險來源與類別，定義本公司自身之風險類別，針對各風險類別展開相關細部風險情境辨識，並定期檢討其適用性。
第十九條 風險辨識
各營運單位應依據本公司策略目標及董事會核定之風險管理政策與程序，就所屬單位之短、中、長程目標與業務執掌進行風險辨識。
風險辨識採用各種可行之分析工具及方法（如：流程分析、情境分析、問卷調查、PESTLE分析等），依據以往經驗及資訊，並考量內、外部風險因子、利害關係者關注重點等，透過「由下而上」及「由上而下」的分析討論，結合策略風險與營運風險，全面辨識可能導致本公司目標無法達成、造成本公司損失或負面影響之潛在風險事件。
第二十條 風險分析
風險分析主要係針對已辨識風險事件之性質及特徵進行瞭解，並分析其發生機率及影響程度，據以計算風險值。
各營運單位應針對已辨識出之風險事件，考量現有相關管控措施之完整性、過往經驗、同業案例等，分析風險事件之發生機率與影響程度，據以計算風險值。
第二十一條 風險分析量測標準
風險管理推動與執行單位依據本公司風險特性擬訂適切的量化或質化量測標準，作為風險分析之依據。
質化之量測標準係指透過文字描述，表達風險事件之發生機率及影響程度；量化之量測標準則係指透過具體可計算之數值指標（如：天數、百分比、金額、人數等），表達風險事件之發生機率與影響程度。
第二十二條 風險胃納
風險管理推動與執行單位擬訂風險胃納（風險容忍度），提報風險管理委員會進行核定，以決定本公司可承受之風險限額。並依據風險胃納研議各風險值對應之風險等級，及各風險等級之風險回應方式，作為後續風險評量及風險回應之依據。
第二十三條 風險評量
風險評量的目的是提供本公司作為決策之依據，透過將風險分析結果與風險胃納加以比對，決定需優先處理之風險事件，並作為後續擬訂回應措施選擇之參考依據。
各營運單位應依據風險分析結果，對照經風險管理委員會核定之風險胃納，依據風險等級規劃與執行後續風險回應方案。
相關風險分析與評量結果應確實記錄，並提報風險管理委員會進行核定。
第二十四條 風險回應
針對風險回應應訂定相關處理計畫，確保相關人員充分理解與執行，並持續監控相關處理計劃之執行情形。
本公司應考量企業策略目標、內、外部利害關係人觀點、風險胃納及可用資
源，來擇定風險回應方式，使風險回應方案在實現目標與成本效益之間取得平衡。
第二十五條 風險監督與審查
風險監督與審查機制應於風險管理程序中明確定義，以確實審查風險管理流程及相關風險對策是否持續有效運作，並將相關審查結果納入績效衡量與報告事項中。
風險管理應與組織中關鍵流程進行連結，以有效監督與提升風險管理落實實施之效益。

第五章 風險報導與揭露

第二十六條 風險紀錄
風險管理執行之過程及其結果均應通過適當的機制進行紀錄、審查與報告，並妥善留存備查，包含風險管理流程中之風險辨識、風險分析、風險評量、風險回應措施、相關資訊來源及風險評估結果等。
第二十七條 風險報導
風險報導為公司治理中不可或缺的一部分，考量不同利害關係者及其特定的資訊需求和要求、報導的頻率與時效性、報導方法、資訊與組織目標和決策的相關性，以協助高階管理階層和治理單位進行相關風險決策並履行其風險管理職責。
風險管理推動與執行單位應彙整各單位所提供之風險資訊，定期出具風險管理相關報告予風險管理委員會及董事會，並建置動態管理與報導機制，以確實督導風險管理之有效執行。
第二十八條 資訊揭露
本公司應於公司網站或公開資訊觀測站中揭露下列風險管理相關資訊，提供外部利害關係人參考，並持續更新。
具體應揭露項目包含：
一、風險管理政策與程序；
二、風險治理與管理組織架構；
三、風險管理運作與執行情形（包含向董事會及委員會報告之頻率與日期）。

第六章 附則

第二十九條 注意國內外發展
本公司應隨時注意國內與國際公司風險管理機制之發展，據以檢討改進本公司所建置之風險管理架構，以提升本公司治理成效。
第三十條 本守則經審計委員會及董事會決議後施行，並提股東會報告，修正時亦同。