金融控股公司及銀行業應依據投資規模、業務情況（分支機構之多寡及其
業務量）、管理需要及其他相關法令規章之規定，配置適任及適當人數之
專任內部稽核人員，以超然獨立、客觀公正之立場，執行其職務，職務代
理，應由內部稽核部門人員互為代理。
金融控股公司及銀行業內部稽核人員應具備下列條件：
一、具有二年以上之金融檢查經驗；或大專院校畢業、高等考試或相當於
    高等考試、國際內部稽核師之考試及格並具有二年以上之金融業務經
    驗；或具有五年以上之金融業務經驗。曾任會計師事務所查帳員、電
    腦程式設計師或系統分析師等專業人員二年以上，經施以三個月以上
    之金融業務及管理訓練，視同符合規定，惟其員額不得逾稽核人員總
    員額之三分之一。
二、最近三年內應無記過以上之不良紀錄，但其因他人違規或違法所致之
    連帶處分，已功過相抵者，不在此限。
三、內部稽核人員充任領隊時，應有三年以上之稽核或金融檢查經驗，或
    一年以上之稽核經驗及五年以上之金融業務經驗。
銀行業國外營業單位配置之專任內部稽核人員，其資格條件應符合當地法
令規定及當地主管機關之要求。但自當地聘任之內部稽核人員，如當地主
管機關無規定任用條件者，應依董事會通過之評估遴選辦法自行選任，不
適用前項規定。
金融控股公司及銀行業應隨時檢查內部稽核人員有無違反前三項之規定，
如有違反規定者，應於發現之日起二個月內改善，若逾期未予改善，應立
即調整其職務。

一、考量資訊科技發展及國內實際就業狀況，第二項第一款所稱「電腦公
    司程式設計師或系統分析師」係指具備電腦程式設計師或系統分析師
    二年以上專業工作經驗者，不以任職於電腦公司為限，爰刪除第一款
    之「公司」二字。
二、考量銀行業有於國外營業單位配置專任內部稽核人員，以強化對國外
    營業單位內部稽核品質之實務需求，爰參考本辦法第三十二條第四項
    及第五項第三款國外營業單位法令遵循主管之規定作法，增訂第三項
    有關銀行業國外營業單位配置之專任內部稽核人員資格條件，應符合
    當地法令規定及當地主管機關之要求。但自當地聘任之內部稽核人員
    ，如當地主管機關無規定任用條件者，應依銀行業董事會通過之評估
    遴選辦法自行選任，將其適任性及是否參加相關課程訓練及測驗等，
    列為其評估之重要事項，得排除第二項規定之適用。至於由總行派駐
    國外營業單位之內部稽核人員，其資格條件仍應同時符合第二項及第
    三項規定。
三、原第三項順移，並酌修第四項文字。

本國銀行得向主管機關申請核准採行風險導向內部稽核制度，如第十六條
第二項所列子公司經評估有未予納入該制度實施者，應提供評估文件。主
管機關得視銀行之資產規模、業務風險及其他必要情況，請本國銀行申請
採行風險導向內部稽核制度。
本國銀行申請採行風險導向內部稽核制度，應符合下列條件：
一、最近一次申報自有資本與風險性資產比率，符合銀行資本適足性及資
    本等級管理辦法第五條之規定。
二、以最近一次金融檢查及最近一期經會計師查核簽證之財務報表為基準
    ，均無備抵呆帳及各項準備提列不足。
三、最近一季逾期放款比率未超逾百分之一。
四、已具備有效之內部控制制度。
本國銀行經採行風險導向內部稽核制度者，不適用前條第一項及第十六條
第二項查核頻率之規定。

考量現行規定對採行風險導向內部稽核制度之本國銀行，已將其國外子行
納入該制度實施，基於一致性原則，其餘子公司部分應一併納入，惟考量
子公司業務特性等因素，得經主管機關核准後不予納入，爰配合修正第一
項及第三項文字。

內部稽核單位之稽核人員於充任前均應分別參加主管機關認定機構所舉辦
之下列訓練，並取得結業證書：
一、初任稽核人員應參加稽核人員研習班、電腦稽核研習班或票券稽核研
    習班六十小時以上課程，並經考試及格且取得結業證書。
二、領隊稽核人員應參加領隊稽核研習班十九小時以上課程。
三、總稽核及正副主管應參加稽核主管研習班十二小時以上課程。
銀行業國外營業單位自當地聘任之內部稽核人員充任前應參加之相關訓練
，不適用前項規定。但當地主管機關另有規定者，從其規定。
內部稽核人員（含正副主管及總稽核）每年應參加主管機關認定機構所舉
辦或稽核人員所屬金融控股公司（含子公司）或銀行業（含母公司）自行
舉辦之金融相關業務專業訓練，其最低訓練時數，正副主管及總稽核應達
二十小時以上，其餘內部稽核人員應達三十小時以上。當年度取得國際內
部稽核師證照者，得抵免當年度之訓練時數。
參加主管機關認定機構所舉辦之金融相關業務專業訓練時數不得低於前項
應達訓練時數二分之一。
派駐國外或國外營業單位自當地聘任之內部稽核人員，每年在職訓練時數
應符合當地法令規定，不適用前二項規定。但當地法令無規定者，應比照
本國總行內部稽核單位主管及人員每年在職訓練時數，並得以參加符合當
地法令規定所設立之金融專業訓練機構之訓練課程時數進行認定。
金融控股公司及銀行業應每年訂定自行查核訓練計畫，依各單位之業務性
質對於自行查核人員應持續施以適當查核訓練。
金融控股公司及銀行業應確認內部稽核人員之資格條件符合本辦法規定，
該等確認文件及紀錄應留存備查。

一、考量目前依本辦法經本會認定之訓練機構均位於國內，對於國外營業
    單位自當地聘任之稽核人員而言，其欲遵循第一項規定確有困難，爰
    增訂第二項，明定銀行業國外營業單位自當地聘任之內部稽核人員，
    於充任前應依當地主管機關規定參加相關訓練，得不適用第一項充任
    前訓練之規定。
二、原第二項至第六項順移。
三、考量國外營業單位內部稽核人員參加在職訓練應符合當地法令規定，
    爰將其訓練時數排除第三項及第四項規定之適用；如當地法令無規定
    者，則應比照本國總行內部稽核單位主管及人員每年在職訓練時數，
    爰配合修正第五項。

金融控股公司及銀行業應將內部稽核人員之姓名及服務年資等資料，於每
年一月底前依主管機關規定格式以網際網路資訊系統申報主管機關備查。
金融控股公司及銀行業依前項規定申報內部稽核人員之基本資料時，應檢
查內部稽核人員是否符合第十二條第二項、第三項及第二十條規定，如有
違反者，應於二個月內改善，若逾期未予改善，應立即調整其職務。

配合第十二條增訂第三項國外營業單位配置內部稽核人員之資格條件規定
，修正第二項，酌增文字。

金融控股公司及銀行業總經理應督導各單位（金融控股公司含子公司）審
慎評估及檢討內部控制制度執行情形，由董（理）事長（主席）、總經理
、總稽核及總機構法令遵循主管聯名出具內部控制制度聲明書（附表），
並提報董（理）事會通過，於每會計年度終了後三個月內將內部控制制度
聲明書內容揭露於金融控股公司及銀行業網站，並於主管機關指定網站辦
理公告申報。
前項內部控制制度聲明書應依規定刊登於年報、股票公開發行說明書及公
開說明書。
第一項規定對於經主管機關依法接管之銀行業，不適用之。

配合修正第三十八條之一第三項，刪除附表二，將資訊安全整體執行情形
聲明書整併至內部控制制度聲明書，爰配合修正第一項之附表名稱及內容
。

銀行業應指派副總經理以上或職責相當之人兼任資訊安全長，綜理資訊安
全政策推動及資源調度事務。設置資訊安全專責單位及主管，不得兼辦資
訊或其他與職務有利益衝突之業務，並配置適當人力資源及設備。但主管
機關對信用合作社及票券金融公司另有規定者，依其規定。
銀行業前一年度經會計師查核簽證之資產總額達新臺幣一兆元以上者，應
設置具職權行使獨立性之資訊安全專責單位，並指派協理以上或職責相當
之人擔任資訊安全專責單位主管。
銀行業資訊安全專責單位負責規劃、監控及執行資訊安全管理作業，每年
應將前一年度資訊安全整體執行情形，依第二十七條第一項規定辦理內部
控制制度聲明書之出具、揭露及公告申報，並由資訊安全長聯名出具。
銀行業資訊安全專責單位人員，每年至少應接受十五小時以上資訊安全專
業課程訓練或職能訓練。總機構、國內外營業單位、資訊單位、財務保管
單位及其他管理單位之人員，每年至少須接受三小時以上資訊安全宣導課
程。
中華民國銀行商業同業公會全國聯合會、有限責任中華民國信用合作社聯
合社及中華民國票券金融商業同業公會應訂定並定期檢討資訊安全自律規
範。
適用第二項規定之銀行業，應於符合適用條件起六個月內調整。

一、為進一步推動本會一零九年八月六日發布「金融資安行動方案」所訂
    「型塑金融機構重視資安的組織文化」措施，提升銀行業對資安議題
    之執行能力，爰修正第一項，增訂銀行業應指派副總經理以上或職責
    相當之人兼任資訊安全長，統籌資訊安全政策推動及資源調度事務。
    另銀行業若已指派專任資訊安全長有益於所任職務之有效執行，亦未
    違本項之立法目的。
二、考量資訊安全管理作業屬於內部控制制度之一環，允宜將銀行業資訊
    安全整體執行情形整併於第二十七條第一項所定附表之內部控制制度
    聲明書應聲明事項，以及依該規定辦理出具、揭露及公告申報事宜，
    並由資訊安全長聯名出具，爰修正第三項規定及刪除附表二。

銀行業不符第三十八條之一第一項前段有關兼任之規定者，應自中華民國
一百十年九月二十三日本辦法修正發布之日起六個月內，調整至符合規定
。

一、鑑於現行條文第一項及第二項有關法令遵循主管專任與兼任、應具備
    資格條件之調整期均已執行完成，爰刪除之。
二、考量銀行業依第三十八條之一第一項增設資訊安全長一事，需要時間
    調整組織結構及相關作業規章，爰給予六個月緩衝期，俾利業者調整
    辦理。