永續治理 - 風險管理與法令

風險管理
法令遵循與洗錢防制

國泰產險擁有完善的「企業風險管理（ Enterprise risk management，簡稱ERM ）」架構，透過經營高層積極參與，有效管理各項業務風險，提高資本運用效能，並將ESG議題風險辨識及評估融入至核保、理賠流程，以確保對客戶及社會之保障及長期承諾。

企業風險管理（ERM）三道防線機制

第一道防線：公司業務營運及管理單位，確保有效控管營運風險。
第二道防線：法令遵循、風險管理及資訊安全單位，協助風險制度規劃、評估、建議與監督，確保資訊傳遞順暢，並辨識出主要風險，包括市場風險、信用風險、保險風險、作業風險及流動性風險等。
第三道防線：稽核單位，查核各項規章與機制之遵循及執行狀況。

ESG風險辨識及評估

國泰產險於核保、理賠案件審核流程中納入以下ESG（環境保護、社會責任及公司治理）議題相關考量：

核保審核流程（以太陽能光電產業案件審核為例）
1. 治理議題：核保人員須評估有無道德危險或不當業務競爭等情形。
2. 環境議題：透過承接良質太陽能光電業務，支持政府推動綠能產業之政策，促進環境保護。
3. 工程施工法議題：透過損防及核保經驗，提供業者評估施工方法是否適合、施工環境是否安全及工程設施、標的物或相關人員於施工過程中所面臨之風險評估意見，降低整體社會安全成本。
4. 風險規劃議題：著重被保險人財產及責任風險是否獲得合理之保障，確保損失發生可獲完整填補，穩定社會經濟。
5. 客戶保護議題：核保人員於受理案件時需依下列原則瞭解並評估保戶保險需求及適合度。
理賠審核流程
- 道德議題：國泰產險理賠人員於理賠案件處理，如發現案件有存在道德風險或疑似詐欺狀況時，即會向上級主管呈報，並設有醫療證明及重複請領跨險檢核機制，結合防制洗錢及打擊資恐審查作業即時監控，並已訂立內控制度加以規範。
- 環境、社會重大事件：針對環境、社會重大災害，國泰產險內部設置天災及重大事件應變小組，對於承保業務及資產控管有對應之應變措施及處理流程，並建置有重大/新聞事件業務通報系統，理賠單位於接獲事件通報訊息後，可透過Cathay Team+內部專屬App，迅速進行橫向聯繫與跨部門資訊整合，並運用重大事故通報平台進行通報，讓公司各級相關主管於24小時內掌握事件訊息，以利即時制定因應措施，提供最佳服務。

內部控制流程與內部稽核計畫

依循《保險業內部控制及稽核制度實施辦法》第18條規定，本公司排定各部室進行年度一般查核，並依據主管機關要求、金融檢查重點及相關法令、自行評估風險高排定年度專案查核，並申報主管機關相關年度稽核計畫。 2021年稽核計畫依循《國泰產險內部稽核風險評估方法論》而進行，於制定稽核計畫前稽核室會先盤點受查單位既有風險及控制措施之有效性，確認受查單位剩餘風險之評估結果，依風險評估結果區分為高風險、中高風險、中風險、中低風險及低風險等，並製作風險熱力圖。規劃年度稽核計畫之查核內容時，依受查單位風險評估結果，編列各受查單位之查核人力及執行查核之天數。若各稽核報告中有提列缺失意見者，查核人員皆會追蹤改善情形至意見完成改善為止。

國泰產險內部稽核流程

氣候/巨災風險管理機制

根據近年世界經濟論壇（WEF）所發表之《全球風險報告》指出，在各項主要風險當中，極端氣候與天然災害不論在衝擊規模或發生可能性均名列前茅。為掌握台灣地區氣候及巨災風險，國泰產險長期與國內學術研究單位及防災產業機構配合，進行天災風險評估服務，並提供評估改善報告。此外定期運用內部資料庫進行區域天災風險曝險監控之外，更與國際再保人及經紀人合作，定期評估所承保之累積風險，再藉由國際再保險市場風險分散機制，達到天災累積風險管理以及分散之目標，以穩定並強化公司財務結構，提高公司永續經營能力。

風險議題之因應策略

國泰產險回應「保險業氣候相關風險財務揭露指引」

四大構面	指引要求	對應內容	2022永續報告書對應頁數
治理	（一）董（理）事會及高階管理階層應確保公司於制定風險胃納、策略及營運計畫時，將所辨認之氣候相關風險納入考量，並持續監督氣候相關風險之管理與揭露。	對於氣候相關風險與機會之治理，國泰產險以低碳永續經營為目標，由董事會與管理層級為執行氣候相關議題之最高管理層級，從鑑別企業永續發展機會與氣候相關風險胃納兩項議題為出發點，訂定« 國泰產險ESG暨氣候風險管理準則» 及發展相關風險控管機制。	p.50
	（二）得設立隸屬於董（理）事會之委員會，並明確劃分董（理）事會或隸屬董（理）事會之委員會與高階管理階層之職責：	國泰產險以風險管理委員會定期檢視ESG及氣候相關風險管理機制發展、建置及執行效能，並協助董事會監督ESG及氣候相關風險。詳細權責請見《國泰產險管理階層因應氣候相關議題之角色與治理組織》圖。	p.50
	1.董（理）事會或隸屬於董（理）事會之委員會：
	（1）董（理）事會對氣候相關風險之管理負有最終責任。	國泰產險ESG 及氣候相關風險管理機制之發展、建置及執行效能，皆需向獨立董事報告氣候相關風險治理情形。	p.50
	（2）核定及監督氣候相關風險之管理架構及政策。	對於氣候相關風險與機會之治理，國泰產險以低碳永續經營為目標，由董事會與管理層級為執行氣候相關議題之最高管理層級，從鑑別企業永續發展機會與氣候相關風險胃納兩項議題為出發點，訂定« 國泰產險 ESG 暨氣候風險管理準則» 及發展相關風險控管機制。	p.50
	（3）確認氣候相關風險納入風險胃納之質化或量化指標。	訂定« 國泰產險 ESG 暨氣候風險管理準則»，針對不同風險議題，考量外部ESG風險指標以及氣候相關風險指標管理氣候相關風險。	p.50,51
	（4）確保董（理）事對氣候相關風險與機會有適切之了解，並定期審視高階管理階層的執行情形，同時確保高階管理階層已接受足夠之訓練。	國泰產險安排董監事持續針對氣候變遷風險進行外部進修，2022 年共參加「淨零排放因應」、「氣候變遷與淨零排政策」之教育訓練共兩場次。	p.50
	2.高階管理階層：
	（1）訂定氣候相關風險之管理架構及政策。	國泰產險執行氣候風險管理議題，以董事會與管理層級為最高管理層級，從鑑別企業永續發展機會與氣候相關風險胃納兩項議題為出發點，訂定« 國泰產險 ESG 暨氣候風險管理準則» 及發展相關風險控管機制。	p.50
	（2）確認氣候相關風險管理架構及政策實行之有效性。	對於內部氣候變遷治理之推動，分別由總經理帶領企業永續(CS) 小組與風控長帶領TCFD 小組進行管理，透過跨單位協作組成之TCFD 專案小組，與企業永續(CS) 小組之各大成員共同發展氣候行動，透過發揮各部門的專業與執掌，深化公司整體的氣候風險治理成效，並推展氣候變遷所帶來之機會。	p.50
	（3）建立氣候相關風險之內部管理流程。		p.50
	（4）確保就所辨認之氣候相關風險採行必要措施。	詳見《國泰產險管理階層因應氣候相關議題之角色與治理組織》表。	p.50
	（5）配置適切之氣候相關風險之管理人員，並給予必要之訓練。	風控長召集跨部門TCFD 小組，宣導內外部氣候議題，並負責傳遞氣候相關資訊予企業永續及風險管理單位。	p.50,51
	（6）定期向董（理）事會或隸屬於董（理）事會之委員會報告氣候相關風險之管理情形。	國泰產險有效掌握並評估各期間可能面臨的氣候相關風險，發展相因應之機會，透過風險管理程序，每季於TCFD 小組會議及CS 精進小組會議進行彙整，將氣候相關風險資訊彙報予管理階層。	p.51
策略	（一）鑑別氣候相關風險與機會對財務、業務、商品及投資等之財務影響。	詳見《實體風險及其潛在衝擊影響》《轉型風險及其潛在衝擊影響》表。	p.52
	（二）依重大性標準將氣候相關風險排列優先順序。	國泰產險鑑別出22項氣候相關風險議題對於價值鏈流程之影響，並依「影響程度」與「發生可能性」排序重要性，詳見《國泰產險氣候相關風險鑑別結果》圖。	p.51
	（三）訂定年度經營目標及業務、商品與投資等策略時，將氣候相關風險與機會之影響納入考量。	國泰產險將《氣候相關風險議題之機鑑別會》表所鑑別之機會納入未來經營方向與改善。	p.53
	（四）依情境分析及壓力測試結果檢視及調整氣候相關風險之管理政策。	國泰產險為瞭解氣候變遷對公司財務影響，執行氣候變遷情境分析，情境分析之結果，將納入建構氣候風險相關模型以及未來營運檢視之參考，詳見《颱風洪水天災情境分析結果》《投資部位情境分析模擬》表中「分析結果之運用」。	p.54
風險管理	（一）風險管理及監控：
	1.訂定評估方法，以辨認具氣候相關風險之部門、交易對手及客戶（包括現有及潛在之交易對手及客戶）並評估其影響性。	國泰產險區分「保險」「投資」「營運」三大面向，分別針對國泰產險所辨識之氣候相關風險進行管理。	p.55-57
	2.訂定氣候相關風險曝險之管理及持續監控機制。對具重大氣候相關風險之部門、交易對手及客戶，得建立相關機制，以管理所辨認之氣候相關風險，並鼓勵該交易對手及客戶採取必要措施以降低其氣候相關風險。	國泰產險區分「保險」「投資」「營運」三大面向，分別針對國泰產險所辨識之氣候相關風險進行管理。	p.55-57
	3.針對公司鑑別之氣候風險依「保險業內部控制三道防線實務守則」進行風險管理。	將「ESG 及氣候風險」納入保險業內部控制三道防線實務守則，制定風險管理組織與職責、各項風險管理機制。	p.22
	（二）情境分析及壓力測試：
	1.具備質化或量化情境分析及壓力測試之能力，以評估氣候相關風險的影響性。	國泰產險執行氣情境分析以評估氣候變遷下之衝擊，詳見《颱風洪水天災情境分析結果》《投資部位情境分析模擬》表。	p.54
	2.設定具質化或量化風險指標之一般情境及嚴重情境，並得為策略規劃及風險管理目的設定長期或短期情境。	國泰產險執行氣情境分析以評估氣候變遷下之衝擊，詳見《颱風洪水天災情境分析結果》《投資部位情境分析模擬》表。	p.54
	（三）投資管理：
	1.訂定適當程序以評估及管理投資標的所涉之氣候相關風險。就涉及較高氣候相關風險之投資標的應有額外之審查機制。	國泰產險考量投資標的可能面臨氣候變遷之影響，因此制定「ESG 投資評估流程」，於投資決策中整合 ESG 因子，定期評估投資標可能涉及之氣候風險。	p.30
	2.定期評估投資標的所涉氣候相關風險之變動，以作為調整投資部位之依據。		p.30
指標與目標	（一）設定評估及管理氣候相關風險之指標。	國泰產險針對氣候相關風險訂定指標與目標檢視每年度達成情況，詳見《氣候指標與目標》表格。	p.58
	（二）設定氣候相關風險管理之目標。
	（三）訂定氣候相關風險依重大性排序之判斷指標。
	（四）考量將氣候相關風險之管理納入績效衡量指標。

資訊安全管理

國泰產險依循母公司國泰金控之資訊安全管理政策，日常的資訊安全管理業務導入ISO27001 資安管理系統維運、資安技術評估與導入、資訊安全相關規範制定、資安事件監控與通報追蹤與定期資訊安全檢測作業。本公司對接母公司「資安藍圖」規劃，參考最新資安趨勢、相關法令規範，以及集團管理的實際需求，逐步完成國泰產險之資安藍圖規劃項目，以提升本公司資訊安全管控機制。「資安藍圖」共針對以下8大資訊安全領域進行嚴格控管：

國泰金控集團8大資訊安全領域的風險內涵

8大安全領域類別	資安風險的內涵
資安政策與認知宣導	資安政策為所有資安作業遵循之根本，訂定相關規範供使用者依循，並定期辦理資訊安全專業課程訓練或職能訓練。
資安監控與日誌管理	資安監控與系統軌跡留存除了是外規的要求外，也用於資安事件的提早預警、事後證據的保全與相關紀錄的調查追蹤。
存取控制安全	存取管控不良會有系統遭到入侵及控制，並導致資料遭到破壞、竄改和外洩的風險，已建置妥適性管控（例如資料傳輸及落地加密），並控管資料外洩機制。
對外邊界安全	對外邊界為資訊安全第一道防線。未做好防護容易會有主機與電腦工作站遭到入侵控制，並衍生其他進一步的風險。
應用程式/資料安全	預防程式遭到破解及網站被入侵，並確保應用程式版本的正確性與完整性。避免資料外洩、交易竄改，以及發生系統功能的錯誤。
端點安全	會有個人電腦所處理或儲存的資料外洩風險，已針對筆記型電腦進行全硬碟加密與BIOS系統設定鎖定，防止因筆電遺失造成資料外洩風險。
系統平台安全	會有系統主機遭到入侵、控制，並導致無法運作及資料外洩的風險。
網路安全	會有系統與網路遭到入侵、控制，以及資料外洩的風險。

因應新興科技與金融科技的發展，伴隨各式各樣的資安威脅與風險，國泰產險致力提昇本公司整體資訊安全防護能力。

1. 本公司於 107 年成立資訊安全科，至2023年為止，資訊安全科總共5人(含資安主管1人)，負責資訊安全政策制定與修訂、資訊安全架構藍圖規畫與執行、資訊安全宣導與教育訓練規劃、資訊安全事件監控與通報追蹤。
2. 本公司訂有資訊安全政策並經董事會核定，為本公司資安管理之遵循依歸，內容主要規範資安政策聲明及資安運作機制。目標為強化資訊安全管理，建立安全及可信賴之資訊作業環境，確保資訊資產之機密性、完整性及可用性，並提昇同仁對資訊安全認知，以保障員工、客戶與本公司之權益。
3. 本公司為確保資安政策之遵循並推動、督導與協調資安管理工作，成立跨單位之「個資暨資安管理委員會」，由總經理擔任召集人，每半年至少召開一次會議。
4. 配合金管會推動之「金融資安行動方案」，持續強化資安防護能力，達成安全、便利、營運不中斷的金融服務，包含遴聘資安諮詢小組、導入國際資安管理標準及取得驗證、辦理資安治理成熟度評估、建置資安監控服務中心機制、鼓勵資安人員取得國際證照、電腦資安事件緊急應變小組配合作業、以及導入國際營運持續管理標準及取得驗證等。
5. 定期辦理社交工程演練、分散式阻斷服務攻擊演練、白帽駭客紅隊演練、電腦系統資訊安全評估等專案。透過各項資通安全評估作業與攻防演練，檢視整體電腦系統控制措施之完整性與妥適性，發現資安威脅與弱點，以提昇人員資安意識與資訊系統安全防護能力。

國泰產險於總公司設有法令遵循部，由總機構法令遵循主管綜理法令遵循制度之規劃、管理、執行及各項法令傳達與溝通事宜，使法令遵循功能得以有效發揮。另響應反洗錢與反資恐的政府政策，2017年3月成為國內首家於公司內部成立「洗錢防制暨打撃資恐委員會」之產險公司，展現防阻金融犯罪之決心。

法令遵循

國泰產險透過內部強化管理紀律及外部落實法令遵循，將公司之組織、經營理念、分層權責之概念整合，建置完善的法令遵循制度，避免公司誤觸法令而產生罰鍰及法律責任，使公司運作更有效率。

為協助本公司同仁於業務運作上，能夠更明確預防與判斷從業過程中涉及的道德衝突，《國泰產險員工行為守則》中提供了詳盡的「道德衝突檢視清單」以及「自我質疑作業」列表，協助同仁評估疑慮。如員工察覺公司人員涉及有違誠信之行為，內外部人員可循《國泰產險員工行為守則》及《國泰產險檢舉制度管理暨執行辦法》提出檢舉。

國泰產險員工行為守則》檢視清單

道德衝突檢視清單	自我質疑作業
進行自我質疑作業釐清發生衝突的議題辨識發生衝突的內、外因素評估可能的解決方案和後果影響正確地尋求諮詢及協助	是否感覺此行為有違法、不適當或引發爭議之可能？此行為是否符合外部法令、本守則或公司其他內部規章？此行為是否符合誠信之精神？是否可以向公司、客戶合理說明？是否可能引發新聞話題或社會負面觀感？

洗錢防制

國泰產險於2017年1月成立防制洗錢及打擊資恐專責單位：洗錢防制科，隸屬法令遵循部。
主要職掌是：督導全公司洗錢及資恐風險相關作業之規劃與執行，避免公司誤觸相關法令而受裁罰及承擔法律責任，確保公司正常運作。包括：

加強各項內控作業及教育訓練
- 依據相關法令訂定內部相關辦法及作業流程以確實執行。
- 依據各業務部門在反洗錢與反資恐作業上責任的不同，施予不同的教育訓練，以強化員工的認知及執行力。
督導業務單位對客戶進行身分確認及持續審查作業
- 與客戶建立業務關係前中後執行客戶風險評估。

本公司對於送董事會之防制洗錢等議案，皆須經防制洗錢與打擊資恐委員會（後稱：洗防委員會）審核通過後始得送出。洗防委員會之成員為公司治理之高級主管，對議題掌握度佳，經過委員會的討論，不僅多了一層把關，也使得公司治理制度更加完善。洗防委員會設置委員6-10位，其中一人為主任委員由總經理兼任，其餘委員由公司治理其他成員兼任。委員會每季召開會議，每年共計4次，主要為研擬相關議題年度計畫、相關作業辦法與規範的修改、編撰洗防業務報告與機構風險評估等。

防制洗錢與打擊資恐委員會成員與職掌

成員組成

委員會執掌

總機構法令遵循主管
風控長
經管投資部門之資深副總經理（副總經理）
經管行政作業部門之資深副總經理（副總經理）
經管資訊作業部門之資深副總經理（副總經理）
總稽核得視議案內容列席參加

一、審議防制洗錢及打擊資恐管理政策與相關規範。
二、審議相關部室防制洗錢及打擊資恐管理之職務與責任。
三、督導防制洗錢及打擊資恐措施及計畫之實施。
四、協調防制洗錢及打擊資恐之處理程序與應變計畫。
五、負責督導本公司防制洗錢及打擊資恐改善計畫。
六、視需要邀請相關人員列席報告或發表意見或提供專業意見。

共創全人幸福

環境保護(E)

社會共融(S)

永續治理(G)

報告與聲明下載

最新消息

全站搜尋

互動式媒體

利害關係人溝通管道

社群(交)網站

電子報訂閱

企業風險管理（ERM）三道防線機制

ESG風險辨識及評估

內部控制流程與內部稽核計畫

氣候/巨災風險管理機制

風險議題之因應策略

國泰產險回應「保險業氣候相關風險財務揭露指引」

資訊安全管理

法令遵循

洗錢防制

共創全人幸福

環境保護(E)

社會共融(S)

永續治理(G)

報告與聲明下載

最新消息

全站搜尋

互動式媒體

利害關係人溝通管道

社群(交)網站

電子報訂閱

企業風險管理（ERM）三道防線機制

ESG風險辨識及評估

內部控制流程與內部稽核計畫

氣候/巨災風險管理機制

風險議題之因應策略

國泰產險回應「保險業氣候相關風險財務揭露指引」

資訊安全管理

法令遵循

洗錢防制

瀏覽器設定建議