風險管理

公司治理

Corporate Governance and Operational Performance

風險管理政策與程序

本公司以健全誠信之經營理念，為確保公司穩健經營與永續發展，降低營運可能面臨之風險，於109年經董事會決議通過訂定「風險管理政策與程序辦法」，本公司每年定期評估風險，依照公司整體營運方針定義各類風險，建立及早辨識、準確衡量、有效監督及嚴格控管之風險管理機制，在可承受之風險範圍內，預防可能的損失。隨時注意國際與國內風險管理制度之發展情形，據以檢討改善本政策，並依據內外環境變化，持續調整改善最佳風險管理方式，以提昇本公司風險管理執行成效，俾保障公司、員工、股東及利害關係人的利益。

完整政策請見風險管理政策與程序辦法

風險管理組織架構

為有效執行本公司風險管理機制，本公司由董事會、審計委員會、總經理室、稽核處、各風險管理單位及子公司共同參與推動。

風險管理流程

本公司各風險管理單位審視本身業務及經營特性，辨識公司營運可能面對之風險因子，發展出完整的風險類別框架，並訂定適當之衡量方法，作為風險管理的依據。

各風險管理單位應持續監控所屬業務之風險，並提出因應對策，定期向高階管理階層報告風險狀況以供管理參考，確保管理架構及風險控管功能正常運作。

風險管理範疇

本公司整合企業經營主要風險源，同時考量實務上運作之可行性，訂定風險類別，每年由企業社會責任工作小組作問卷調查。考量全球氣候變遷、政府能源及相關財稅等議題造成之影響日益漸增，2021年底鑑別出能資源風險1項新興風險，並將其列入固定風險類別。2021年共針對15項風險進行風險發生的可能性與影響衝擊度進行鑑別，各風險管理單位視內(外)部營運環境變化，定期調整管控機制。

風險管理矩陣圖

風險類別	風險內容說明
財務風險	利率變動風險匯率變動風險財產損失風險背書保證風險應收帳款風險
策略及營運風險	策略及營運風險產業風險投資風險
原料價格與供應鏈風險	原料價格變化原料庫存及物流管理生產設備備品計畫
職業安全風險	營運過程員工及承攬人發生職業災害
資訊安全風險	資訊維運系統生產工控系統保全機敏資料與客戶交易安全保護
法律風險	法遵風險交易風險爭訟解決遵法意識與行為
人力資源風險	人力資源短缺風險勞動力成本上升積壓風險員工流失風險法遵風險
研發風險	產品技術風險市場風險
環境暨能資源風險	營運過程碳排放對環境造成影響營運過程對環境造成污染
氣候變遷風險	水資源管理碳中和／碳稅
災害事故風險	事故發生原因和改善方案未予檢討、追蹤之風險營運與財產／人員損失風險員工作業安全風險營業中斷風險
科技風險	新科技的採用引發資安風險因應市場消費習性變化與生產科技落後
環保事件風險	重大環境污染事件發生以後，所排放的有毒有害物、釋放的能量流將立即進入環境，並可能由此導致一系列的人群中毒、火災、爆炸等嚴重污染環境與破壞生態的行為。
運輸安全風險(地下管線)	地下管線或槽車洩漏引發之火災、爆炸等引起事故，造成傷亡或財物損失，並造成營運中斷風險。

運作情形

本公司自103年起每年在ESG報告書揭露各項重大風險鑑別與短中長期因應措施，109年經董事會決議通過訂定「風險管理政策與程序辦法」，每年至少一次向審計委員會及董事會報告當年度之風險管理運作情形，並將相關資訊揭露於年報及公司網站。

為落實風險管理機制，每年定期展開集團風險評估作業，風險評估作業結果報告每年皆會定期呈報與審計委員會(由 4 位獨立董事組成)以及董事會(最新一次呈報日期為 2023/11/7)，呈報內容包括彙整當年公司所面臨之各項風險(2023年度所遇風險項目，如:人員安全風險、營運成本風險、匯率風險、法規遵循及變動風險、氣候變遷風險等)，及風險因應措施與預計改善計畫等，後續於每季進行追蹤，並知會稽核室追蹤結果，由稽核室對於風險管理作業執行風險管理稽核，以確保本公司風險管理有效運作與執行。

年度	摘要	風險管理運作情形
109	109年經董事會決議通過訂定「風險管理政策與程序辦法」。由總經理於109年12月向審計委員會及董事會報告本年度風險管理運作情形。本年度新增嚴重特殊傳染性肺炎（COVID-19）風險，集團人資處遵照中央流行疫情指揮中心編訂之「企業因應嚴重特殊傳染性肺炎（COVID-19）疫情持續營運指引」，即時展開各關係企業防疫措施，並依指揮中心發出之公告適時更新相關防疫措施。
110	由總經理於110年11月向審計委員會及董事會報告本年度風險管理運作情形。考量全球氣候變遷、政府能源及相關財稅等議題造成之影響日益漸增，本年度鑑別出「能資源風險」一項新興風險，並將其列入固定風險類別。
111	於111年11月3日向審計委員會及董事會報告本年度風險管理運作情形暨112年度風險管理重點執行計畫報告，並至少一年一次向董事會及審計委員會報告。
112	於112年11月7日向審計委員會及董事會報告本年度風險管理運作情形暨113年度風險管理重點執行計畫報告，並至少一年一次向董事會及審計委員會報告。

資安政策

ISO 27001資安制度：
自2014年起建立ISO 27001:2013資安管理系統並持續運作推動，敦聘外部公正單位BSI Taiwan進行審查，至今已連續9年通過驗證，目前證書之有效期為112年7月4日至114年10月31日。
NIST CSF資安管理框架：
納入美國國家標準與技術研究院(National Institute of Standards and Technology，NIST)所發展之網路安全框架(Cybersecurity Framework，CSF)。
以ISO 27001資安管理系統為主，輔以NIST CSF資安管理框架，強化對風險的管控，提昇資安韌性並具備對資安事件承受、遏制與迅速恢復的能力，以持續提供關鍵營運服務。

資通安全管理方案

(1)網路安全控管：

A.落實對OT之管理

✓ 建立風險評測標準。
✓ 設備相關資訊建立/資安納管(防毒/網路/Windows更新...等)。
✓ 總表管理，定期檢視及維護。

B.系統安全參數強化檢視：

以最佳管理實務進行廠區網路設備與資安設備(如：交換器、負載平衡、防火牆)之組態強化檢核。

C.網路縱深防禦部署：

✓ 強化對外防火牆系統，拒敵於外。
✓ 建置網路偵測系統，偵測不合理行為。
✓ 建置跨廠防火牆，防止病毒橫向擴散。
✓ 強化關鍵系統，確保重要主機之營運安全。

D.六道網路縱深防禦實務作業：

✓ 第一道防禦：強化防火牆
✓ 第二道防禦：惡意行為偵測
✓ 第三道防禦：關鍵系統防護
✓ 第四道防禦：資安事件管理系統
✓ 第五道防禦：321備份
✓ 第六道防禦：關鍵資料保護與加密

E.弱點掃描檢測，自2016年起逐年執行。

(2)資訊資產管理

✓ 資訊資產價值鑑別
✓ 資訊資產管控
✓ 【軟硬體管理平台】

(3)存取控制安全

✓ 使用者行為監控
✓ 數位證據保全機制
✓ 帳號及權限管理

(4)實體及環境安全

✓ 防火牆及工控設備(OT)
✓ 關鍵伺服器(SEVER)
✓ 辦公設備(IT)
✓ 電子郵件(Mail)

(5)安全區域管理

(6)溝通與持續管理

✓ 運作安全與日常資安管理
✓ 營運持續管理

資通安全風險與因應措施

(一)資訊技術安全之風險：

工廠的維運管理為製造業的核心，其工廠的生產流程及工序主要是由工控系統(Operational Technology，OT) 進行管理控制，例如：分散式控制系統(Distributed Control System，DCS)、資料蒐集與監控系統(Supervisory control and data acquisition，SCADA)等，基於生產穩定性等要求，往往作業系統或程式本身，於安裝後即未進行升級與更新，故日後成為所謂的舊系統(Legacy System)，其資安防護程度相較於一般的資訊系統(Information Technology，IT)，例如：ERP、CRM、OA等軟硬體設備，是明顯不足的。

(二)資訊技術安全之管理措施：

定期由公司內部稽核部門及外部專業資安顧問公司進行稽查，另敦請國際知名認證公司英國標準協會台灣分公司（British Standards Institution, BSI）每年進行ISO 27001認證查核。除針對資通安全風險管理架構進行審查外，並對內外部等議題予以輔導防制、進行資通安全風險評估分析。
集團郵件系統全面啟用多重要素驗證MFA (Multi-Factor Authentication)機制，除第一道密碼驗證外，另再透過其他工具進行第二道身份驗證，以提升安全性層級。
工控設備(OT)採用Palo Alto networks 3220 防火牆，以次世代7層式防火牆系統，提升過濾進出封包的執行效率，有效降低系統漏洞曝露的風險。
強化工控設備外接裝置管控：限制USB存取，防範數據洩漏及外部資安危害攻擊，避免影響產線。
外接儲存媒體健檢：全面進行外接儲存媒體檢查，透過定期性掃毒、檢查及盤點，減少外接裝置資料遺失風險，及隱藏的資安危害。
針對伺服器主機等設備之作業系統，每年委託外部專業資安顧問公司進行弱點掃瞄，找出潛在風險並進行系統修正或提出補償性措施加以因應。
加強人員資安管理、防止駭客入侵或資料外洩等事件發生，資訊人員每年進行至少四小時的資通安全教育訓練。

了解更多

資通安全管理

制定「台聚集團執行防疫篩檢指引」

因COVID-19疫情持續嚴峻，新的變種病毒侵入，而政府相關企業因應疫情之篩檢法令、工具、方式亦不斷調整，為明確台聚集團於執行防疫篩檢作法，以防範企業內疫情擴大蔓延，經相關單位討論後，訂定「台聚集團執行防疫篩檢指引」以茲遵循，於110年7月1日定稿。指引內容摘要如下：

將人員分四類防疫管制類別，對應防疫措施。
全體同仁須主動線上自主健康回報，由系統輔助人事依類別進行管控，並指定專人後續落實執行。
建立篩檢管制。
確診員工返工規定。

2023/5/1新冠肺炎從第五類法定傳染病降級為第四類，取消相關規定，回歸正常健康管理。