組織架構運作

內部稽核之組織及運作

一、內部稽核之目的：

本公司依據「公開發行公司建立內部控制制度處理準則」之規定設置內部稽核組織，目的係在協助董事會及經理人檢查及覆核內部控制制度之有效性，衡量營運之效果及效率，財務報導之可靠性及相關法令之遵循，並適時提供改進建議，以確保內部控制制度得以持續有效實施，及作為檢討修正內部控制制度之依據。

二、內部稽核組織及配置

本公司稽核室為一獨立單位，隸屬於董事會，負責本公司內部控制之檢查與評估，以促進公司之營運績效。 本公司稽核室配置稽核主管一名，並依據營運規模配置1-2位專職稽核人員。 內部稽核主管之任免，應經審計委員會同意及董事會通過，並應於董事會通過之次月十日前以網際網路資訊系統申報備查。 內部稽核人員之資格應符合法定之適任條件，並持續進修到達規定時數，並將內部稽核人員資料依規定格式，於每年一月底前以網際網路資訊申報備查。

三、內部稽核之運作

• 內部稽核單位每年應依風險評估擬訂年度稽核計畫，經審計委員會同意及董事會通過後確實執行。
• 稽核人員依照年度稽核計畫及內部稽核實施細則進行查核，對於檢查所發現之內部控制制度缺失及異常事項，檢附工作底稿、內部稽核建議及相關之討論重點表做成稽核報告。
• 稽核報告及追蹤情形除於董事會中報告外，並於稽核項目完成之次月底前交付公司董事長及各獨立董事查閱。
• 為確保公司內部控制制度之有效執行，必要時由董事會、獨立董事指定專案性稽核主題，由稽核人員進行各項稽核作業之查核。
• 稽核室每年定期督促內部各單位自行評估內部控制制度設計及執行之有效性，再由稽核室覆核各單之自行評估結果做成自行評估彙總報告，併同稽核室所發現之內部控制缺失及異常事項改善情形，經審計委員會同意後，以作為董事會及總經理評估整體內部控制制度有效性及出具內部控制制度聲明書之主要依據。
• 董事會決議通過之內部控制制度聲明書，除刊登於本公司年報外，並公告申報於主管機關指定之網站。

四、年度稽核計畫

本公司依據「公開發行公司建立內部控制度處理準則」規定擬訂年度稽核計劃，並於該年度執行下列各項稽核作業循環，以評估本公司內部控制制度之健全性、合理性及各部門執行的有效性：

• 銷售及收款循環。
• 採購及付款循環。
• 生產循環。
• 薪工循環。
• 融資循環。
• 不動產、廠房及設備循環。
• 投資循環。
• 研發循環。
• 各項管理控制作業。
• 電腦化資訊系統控制作業。

稽核室依照主管機關之規定，「按月」稽核從事衍生性商品交易處理程序之遵循情形，且「每季」稽核資金貸與他人及背書保證作業程序及其執行情形。

五、年度申報作業

稽核室依照主管機關規定之期限內，完成下列規定事項之網路申報作業。

• 十二月底前申報次年度之『年度稽核計劃』。
• 元月底前申報當年度『稽核主管與稽核人員資料』。
• 二月底前申報前年度『年度稽核計劃執行情形』。
• 三月底前申報前年度『內部控制制度聲明書』。
• 五月底前申報前年度『內部控制制度缺失及異常事項改善情形』。

六、內部稽核人員之任免、考評、薪資報酬

• 本公司內部稽核主管之任免，經審計委員會同意及董事會通過。
• 內部稽核人員之任免、考核、薪酬依簽核流程簽報至董事長核定。

公司治理專(兼)職單位

本公司總經理室已設置公司治理(兼) 職單位及人員負責公司治理相關事務(包括但不限於提供董事、監察人執行業務所需資料、依法辦理董事會及股東會之會議相關事宜、 製作董事會及股東會議事錄等) 而財會部辦理公司登記及變更登記等事宜。

本公司資訊安全評估為下列要點

（一）資訊架構檢視

1. 網路架構配置之檢視、資訊設備安全管理方法之妥適性等。
2. 檢視發生問題故障之單點時，評估是否有影響風險，並進行改進方案。
3. 針對業務持續運作的妥適性，對發生問題之狀況，採取相關措施。

（二）網路活動檢視

1. 對於網路設備、伺服器之存取紀錄及帳號權限，對異常紀錄做檢視。
2. 對於資安設備（如：防火牆、垃圾郵件過濾、網頁防護等）之監控紀錄，對發生異常狀況紀錄做檢視。
3. 對於網路封包在發生問題時，異常連線或異常網域名稱解析伺服器查詢，是否為已知惡意IP、中繼站或有符合網路惡意行為的特徵。

（三）網路設備、伺服器、端末設備等設備檢測

1. 對於網路設備、伺服器、端末設備等設備發生問題之修正作業。
2. 對於系統帳號登入密碼複雜度、外部連接密碼（如檔案傳輸連線、資料庫連線等）之儲存保護機制與存取控制，發生異常時檢視。
3. 對於終端機及伺服器發生惡意程式，包括具惡意行為之可疑程式、有不明連線之可疑後門程式時做異常檢視。

（四）網路安全及設備檢測

1. 針對網站發生問題時，方式為資料收集、資訊分析等做檢視。
2. 對於伺服器之目錄及網頁之存取權限，發生問題時做檢視。
3. 針對開放外部連結，對於發現網路暴露在外之弱點，並進行修正及強化。

（五）安全設定檢視

1. 對於防火牆是否開啟具有安全性風險的通訊埠或非必要通訊埠，連線設定對安全性有無弱點，並發生問題時進行補強。
2. 對於系統存取限制（如存取控制清單）及特權帳號管理，針對發生異常時檢視。
3. 對於伺服器（如網域服務）有關「密碼設定原則」與「帳號鎖定原則」設定。

（六）郵件社交工程演練

針對使用電腦系統人員，寄發宣導及強化資通安和詐騙教育，透過資通安全教育，以期防範惡意程式透過社交方式入侵，且提高同仁防範杜交工程攻擊之危險意識，達到保護客戶資料及重要營運資訊與服務之目的。

（七）112年辦理資訊安全宣導執行情形

不定期對員工資訊安全宣導及本年度舉辦一梯次新人資訊安全教育訓練。

（八）資訊安全運作

1. 本公司資訊安全由電腦室負責審查資訊安全發展與方向，使資訊安全管理制度持續穩健運行。
2. 每年定期向董事會報告資訊安全運作。最近年度提報董事會於112年11月9日提報

董事會績效評估

本公司已建立董事會績效評估制度，於108.8.8董事會決議通過董事會績效評估辦法，為落實公司治理並提升本公司董事會功能，建立績效目標以加強董事會運作效率，特訂定本辦法，以資遵循以發揮董事會成員自我鞭策，提昇董事會運作之功能。依據辦法規定，每年至少執行一次內部董事會績效評估。

【內部董事會績效評估 】

本公司已完成111年度董事會績效考核評估表及董事成員(自我)考核自評問卷。

1. 評估衡量項目:本公司董事會績效評估面向包括「對公司營運之參與程度」、「董事會決策品質」、「董事會組成與結構」、「董事之 選任及持續進修」及「內部控制」等五大面向。 董事成員績效評估面向則包括「公司目標與任務之掌握」、「董事職責認知」、「對公司營運之參與程度」、「內部關 係經營與溝通」、「董事之專業及持續進修」及「內部控制」等六大面向。
2. 評估方式: 董事會內部自評
3. 評估標準：績效考核 & 自評總分皆為 100 分： ● 90 分以上 : 優等； ● 80-89 分 : 良好；● 70-79 分 : 標準； ● 69 分以下 : 待加強。
4. 評估結果： 110年度董事會績效評估結果 董事會績效考核評估為優等；董事成員(自我)考核自評為優等，整體董事會屬有效運作 ，並已提報112年3月10日董事會。