公司治理與永續經營

3 風險管理 ( GRI 2-13 ) ( GRI 200-2 )

3.1 風險評估與管控

本公司以董事會作為風險管理最⾼治理單位，設置永續發展及風險管理委員會負責因應法令、公司政策、組織調整、作業流程變更等項⽬，來訂定各種內部規章， 對各項風險偵測、辨識、評估並擬定相關對策，於定期的營運會議上進⾏檢討及監督，並定期向董事會報告。永續發展及風險管理委員會依據風險評估矩陣表，利 ⽤定性描述⽅式來評估危害之風險程度，及決定是否為可接受風險，預估的可能性和嚴重性，加以評估分類。⾼度風險之議題，應由權責部⾨提出改善計畫以降低 或消除風險；中度風險之議題，由權責單位訂定管制措施，消除或控制風險；低度風險之議題，落實⽇常作業控制既有風險，以避免風險擴⼤或提升。

風險評估矩陣表

營運持續管理

本公司訂有營運持續管理計畫以及緊急事件應變程序，係依照整體營運⽅針來定義各類風險。在可承受的風險範圍內，將公司資源做最佳化的配置，預防可能造 成的損失或降低損失，以維護股東權益。藉此，於發⽣重⼤事故或災害時，在緊急危難的狀況下仍能確保組織持續運作，將事故或災害帶來的衝擊與營運中斷時間盡可能降到最低。

公司設置有營運持續管理委員會，負責營運持續計畫及危機處理相關事宜，執⾏緊急異常事前預防及事後復原之⼯作。營運持續委員會於平時出現緊急狀況時， 得隨時召開會議；若無緊急狀況，應每年訂於第四季召開定期會議，召集⼈為總經理。營運持續委員會之任務包括：

• （ 1 ）統籌公司持續營運管理運作事宜，維持各部⾨間有效溝通，確保公司營運的順暢。
• （ 2 ）當危及公司持續營運的狀況發⽣時，召集⼈負責啟動營運持續計畫。
• （ 3 ）定期檢視並督導營運持續管理計畫之落實，包括教育訓練及相關⽂件之更新與維護。
• （ 4 ）核定年度營運持續演練計畫，並督導演練及演練後檢討與矯正預防措施之執⾏情形。
• （ 5 ）視危機災害類別，分設衛⽣安全危機因應⼩組、供應鏈安全危機因應⼩組、資訊安全危機因應⼩組。
• （ 6 ）當危機事故發⽣時，因應危機事故樣態，由召集⼈指派對營運事項了解之資深主管擔任指揮官，第⼀時間掌握全盤狀況並彙報給委員會、啟動相關資源並執⾏委員會之決議事項，通報必要對象包括主管機關、客⼾、供應商等。

各危機因應⼩組分設及權責如下：

• （ 1 ）衛⽣安全危機因應⼩組：召開衛⽣安全緊急應變⼩組會議；了解事故種類、嚴重性及規模；決定緊急應變的⾏動⽬標；擬定及執⾏緊急應變計畫；緊急事件過後，研擬復原計畫並執⾏。
• （ 2 ）供應鏈安全危機因應⼩組：供應鏈安全緊急應變⼩組會議；蒐集產品、原物料供應最新狀態；討論並確認解決⽅案；執⾏緊急應變計畫；緊急事件過後，研擬復原計畫並執⾏。
• （ 3 ）資訊安全危機因應⼩組：召開資訊安全危機因應⼩組會議；蒐集了解災害情形，受影響層⾯；確認解決⽅案；執⾏緊急應變計畫；緊急事件過後，研擬復原計畫並執⾏。

營運持續委員會依災害發⽣情況，制定優先⾏動⽅案，啟動相對應的恢復⾏動計畫，跟進⾏動計畫之執⾏進度與結果，掌握災害事件發展的最新狀況。

災害過後，營運持續管理委員會應就災害復原即時協調適當處理⽅式，包括但不限於清點廠內設備、料況及產能、尋找替代廠商、回報客⼾交期狀況等，並檢討災害造成之結果，研擬預防措施以避免災害重複發⽣。並依照程序規定，每年辦理相關緊急事件應變的教育訓練課程與實際演練，包括救災器材的使⽤與操作及放置位置、傷患緊急處理的醫護器材使⽤⽅式、指揮系統及通報系統演練，疏散與逃⽣路線及⽅法說明等等。

本公司各部⾨於⽇常作業中，也持續關注現下災害樣態及蒐集因應措施相關資訊，並注意政府機關發佈之重⼤災害事件新聞及相關指引，加強監控及管理可能危害公司營運之危險因⼦。當發⽣⾜以造成公司營運中斷事件時，負責單位應在最短時間內擬定因應該事件之持續營運計畫，並迅速實施展開⾏動。

2024年全年，本公司並無發⽣造成公司營運中斷⽽需要啟動營運持續管理計畫的事件。

3.2 風險類型與管控措施

風險管理涵蓋所有可能影響財務績效的風險，包括市場、營運、財務及環境風險，並遵循永續相關準則與規範，進⾏辨識、評估、排序及監控永續相關風險與機會之流程。除包含可能影響財務績效的風險與因應計畫外，亦包括⾃然災害、環境風險辨識、評估及應變計畫，盡可能降低可辨認之風險，以降低營運中斷可能之損失。

公司就各項營運所⾯對之市場、⽣產、⼈⼒資源、新產品開發、資訊管理及財務等主要風險，持續性進⾏風險辨識、評估、排序及監控，以兼顧安全與效率，建⽴更具經濟效益之業務運作模式。

就環境⾯⽽⾔，本公司為因應可能發⽣之意外或緊急狀況，建⽴緊急應變程序，作為制定應變計畫之參考，其內容包含緊急應變計畫範圍、組織權責及架構、啟動流程、危險性鑑定、救護計畫、逃⽣路線圖、緊急應變稽核辦法等內容。藉由上述各項作業流程及相關辦法予各單位遵循，將⼈為、天然災害及其他重⼤偶發事件頻率降低，減輕所引發之⼈員傷害、財產損失及⽣產中斷等影響及損害，並迅速恢復正常營運。

風險種類分為：

• （ 1 ）實體風險
• （ 2 ）轉型風險兩⼤類，可再細分為各種不同類型的風險項⽬；針對各項風險項⽬所⾯臨的潛在營運影響有所不同，所需採⽤的調適⽅法也不同。

風險類型、潛在營運影響與調適⽅法

3.3 新興風險的鑑別評估與管理

公司隨時關注經濟環境變化的趨勢，辨識⻑期的風險，適切調整經營策略，以達成永續經營⽬標與⻑期營運績效。由各風險管理組蒐集國內外相關資訊，評估公司⻑期營運之潛在風險項⽬，確認未來可能衝擊度最⾼之議題，再檢討如何減緩衝擊及因應對策，並提報⾄永續發展⼯作⼩組決議，作為擬定未來經營策略之重要參考。

4. 資訊安全

本公司資訊安全組隸屬於資訊管理部⾨(電腦中⼼)，設置資訊主管1名及專業資訊⼈員數名，負責訂定資訊安全政策規範、規劃及執⾏資訊安全技術⽀援，並定期宣導資訊安全觀念，以降低資訊安全風險。

1.針對風險管理，本公司使⽤三個⾯向項⽬對應及減少風險的影響程度。

2. 資訊安全政策：

本公司制定之資訊安全政策規範，依下列項⽬做實際控管：

• （ 1 ）帳號與密碼原則：制定嚴謹之密碼原則，定期更換密碼，嚴禁密碼交付他⼈使⽤。
• （ 2 ）資訊硬體使⽤：嚴禁攜帶與使⽤⾮公司資產之資訊設備。
• （ 3 ）資訊軟體使⽤：嚴禁員⼯⾃⾏安裝任何未經電腦中⼼安裝或同意之⾮授權軟體。
• （ 4 ）檔案管理：個⼈公務檔案、實體機密⽂件、與檔案⽂件資訊之儲存設備，需妥善保管，不得讓⼈輕易存取。
• （ 5 ）郵件管理：來歷不明，有質疑性郵件勿開啟並⽴即刪除。
• （ 6 ）網路使⽤：不得冒⽤、竄改配發IP，不得私⾃接續公司網路環境，不得私⾃架設無線發收設備等擴張使⽤。
• （ 7 ）定期發布資安政策、案例與宣導：定期於公司內部網站，或以郵件⽅式發佈相關資安政策、發⽣案例、及相關宣導等，員⼯應隨時注意並配合遵守。

3. 具體管理⽅案及投⼊資通安全管理之資源：

• （ 1 ）更新與提升IT 基礎架構：
  購置新伺服器硬體與軟體，並更新伺服器與⽤⼾端作業系統到最新版本。 導⼊弱點掃描系統，減少因漏洞⽽產⽣的資安問題。 網路設備更新，增加備援線路與設 備，避免因單⼀設備或線路損壞⽽影響公司營運。
• （ 2 ）強化備份機制：
  購置新款備份⽅案。
  制定新備份、還原與災難演練SOP。
  設置主機備援機制，減少災難後停機的時間。
• （ 3 ）加強員⼯資安概念：
  現在的資安事件不只是外部⼊侵，越來越多是由內部員⼯設備感染，進⽽引發⼤規模資安事件。
  定期發布資安政策、案例與宣導。
  員⼯資訊安全教育訓練，不只是在公司，在任何地⽅都應提⾼資安意識。 2024年本公司並無因重⼤資通安全事件所遭受之損失。

5. 內部稽核制度

5.1 內部稽核負責單位與主要職掌

本公司遵循法令規定設置直接隸屬於董事會之稽核部⾨，稽核室配置稽核主管1⼈，稽核室提供管理階層，秉持獨⽴、客觀精神執⾏稽核業務，以合理確保下列⽬標之達成：

• （ 1 ）營運之效果與效率
• （ 2 ）報導具可靠性、即時性、有效性並符合相關規範
• （ 3 ）相關法令規章之遵循
  稽核處提供管理階層瞭解潛在的風險、評估公司內部控制制度的執⾏情形，並適時提供改善意⾒，確保內部控制制度之完整性與有效性。同時依董事會之委任，提 供相關調查、評估或諮詢服務，以協助董事會與⾼階主管履⾏其公司治理的責任。

5.2 稽核範圍

• （ 1 ）各營運循環之稽核；複核⼦公司稽核報告。
• （ 2 ）公開發⾏公司建⽴內部控制制度處理準則第8、9條所列控制作業。
• （ 3 ）董事會交辦之稽核事項。

5.3 稽核作業模式：P-D-C-A管理循環作業如下圖：

• （ 1 ）各營運循環之稽核；複核⼦公司稽核報告。
• （ 2 ）公開發⾏公司建⽴內部控制制度處理準則第8、9條所列控制作業。
• （ 3 ）董事會交辦之稽核事項。

6. 內部控制管理體系

(本公司透過下列三個管理體系，架構完整之內部控制管理系統)

6.1 內部控制制度及ERP

依據「公開發⾏公司建⽴內部控制制度處理準則」及相關法令規定，建⽴內部控制制度，訂定明確之內部組織結構、呈報體系，及適當權限與責任；內部控制制度涵蓋有關銷售、⽣產、採購、融資、薪資、固定資產、電腦資訊、投資、研發等所有營運活動之循環控制，以及其他重要的管控作業、管理辦法；並導⼊ERP系統，強化作業控制、提升效率與資訊品質。

6.2 內控管理體系

秉持企業⽂化、員⼯核⼼價值與職業道德，透過經營理念（誠信、樂觀、團隊及挑戰）之實踐，使內部控制制度、ISO管理系統和管理辦法組成之內部控制管理體系持續有效的運⾏，進⽽提升經營管理成效與產品品質，達成企業經營⽬標與使命。

有關內部控制管理體系圖⽰如下：

---

7. 參與社團組織( GRI 2-28 )

本公司⻑期加⼊台北市電腦商業同業公會的會員，並積極參與台北市電腦公會所舉辦的國內外資訊科技相關活動。台北市電腦商業同業公會（英語：Taipei Computer Association），簡稱「台北市電腦公會」，是在1974年11⽉5⽇成⽴的同業公會，以推廣臺灣資訊產業發展為主；除了針對資訊產業進⾏相關交流活動，也會在台北世界貿易中⼼辦理國內各⼤型資訊展覽，以及組團參與國際性資訊展覽。因此，台北市電腦公會可稱為是臺灣資訊產業公會與協會組織的⼀⼤⿓頭。

8. 供應鏈管理( GRI 2- 6、 GRI 204 )

本公司將⻑期合作的供應商視為合作夥伴，除了強調公平、平等、互惠、互信外，在第⼀次交易前或每年定期都會對供應商進⾏評鑑，以確保供應商能符合公司對於品質、交期、價格、交易條件等要求。

此外，公司為呼應並積極推動RBA責任商業聯盟⾏為準則，於2024年制定「供應商⾏為準則」，並將相關⾏為準則傳達給供應商，提醒並要求供應商在公司治理、環境保護、勞⼯衛⽣安全等各⾯向應遵循之內容；另針對供應商提供的原物料及包裝材料等均要求要符合法令要求，符合綠⾊產品限⽤物質（RoHS）規範（3-EM-003）中，所要求之含量標準。除了對於原物料供應的要求外，要求供應商簽署廉潔承諾書，具體承諾遵守清廉反貪腐、誠信等⾏為；如發現廠商有發⽣環境、⼈權、社會⽅⾯的負⾯事件，將會影響評鑑項⽬的分數。對於具有較優環保、勞動條件者，將優先列⼊評選採購名單內；⽽有負⾯紀錄之廠商將列⼊觀察名單，在有疑慮時暫時停⽌交易，更嚴重者將剔除供應商之列。

如供應商涉及違反本公司企業社會責任政策且對環境或社會造成顯著負⾯影響時，將可能被判定為不合格廠商，並排除再交易的機會。本公司電⼦產品主要原料包括主晶⽚、記憶體、印刷電路板、⼩尺⼨⾯板等。本公司⼀向與國內外原料廠商維持良好之合作關係，且關鍵材料、零組件均維持兩家以上的供應商，以保持採購彈性及分散原料過於集中之風險。在國內供應商及委外代⼯廠的產品品質、價格與交期符合本公司產品線要求的前提下， 本公司將會優先向國內的供應商採購，以提⾼本公司在地採購的⽐例。為避免風險性因素所帶來之虧損，公司採取彈性採購策略及庫存管理，與主要供應商保持緊密的合作關係，分散多次進貨⽅式，以降低庫存積壓遭遇跌價時，可能產⽣之損失風險；進⽽依接單情形，進⾏原料採購，維持良好週轉率。 2024年合作之供應商總共206 家，簽訂有廉潔承諾書之供應商共 169家，佔 82 %。