前言

面對 AI 應用快速普及及全球客戶對資訊安全要求持續提高，企業該如何因應?為此，艾陽科技提前布局企業治理能力，並攜手在管顧領域經驗深厚的華宇企管，導入符合國際標準的 ISO/IEC 27001 資訊安全管理系統及 ISO/IEC 27701 隱私資訊管理系統，全面檢視資訊管理流程、強化風險控管機制，建立更完善的資安與隱私治理架構，以強化企業自身的資安防護網，打造令企業客戶更能安心交付的治理實力。

從演算法到隱私防禦 艾陽科技打造難以撼動的資安城牆

深耕AI 視覺辨識與智慧應用解決方案的艾陽科技，憑藉著強大的影像分析演算法，在智慧城市、交通、醫療及長照等場域開創出多元的應用版圖。然而，影像辨識的核心本質涉及大量的人臉、行為與行為軌跡等高度敏感數據。對於跨國企業主與公部門而言，採購AI 解決方案時，最大的隱憂往往不在於功能好壞，而在於數據在傳輸、儲存與運算過程中，是否會觸碰到個資與營業秘密外洩的紅線。

為此，艾陽科技希望藉由透過建構完整的資訊安全與隱私管理機制，不僅提升組織風險管理能力，也強化客戶對產品與服務的信任。企業今日競爭的不只是產品與技術，更是客戶對企業治理能力的信任。隨著國際市場、政府標案及大型企業日益重視資訊安全與個人資料保護，ISO/IEC 27001 與ISO/IEC 27701 可協助企業建立制度化管理機制，降低營運風險、提升客戶信任，並強化供應鏈合作與國際市場接軌能力。對企業而言，這不僅是風險管理，更是提升品牌價值、拓展商機與永續經營的重要投資。

升級國際資安與隱私標準 加速全球生態系戰略布局

面對多變且複雜的國際合規標準，艾陽科技同時導入ISO 27001與ISO 27701雙管齊下的戰略，主因在於影像辨識本質上涉及大量去識別化與隱私數據處理。艾陽科技指出，通過雙驗證不僅是為了解鎖大型專案的標配門檻，更是為了在技術輸出時，給予合作夥伴最高等級的第三方實力背書。而艾陽科技藉由華宇企管的實務引導，將現有的AI演算法開發流程、雲端架構與巨量影像資料庫，與國際法規進行深度融合。從研發源頭即注入合規基因，確保每一項邊緣運算方案皆具備國際級防禦力。

專案預計於2027年完成審查並正式取得證書。透過建立標準化的個人資料防護與風險評估機制，艾陽科技能有效優化內部資源、縮短跨國客戶的管理審查流程，將隱私合規內化為企業營運的核心資產，把法規限制轉化為開拓全球數位轉型的實質紅利。

用科技守護大眾隱私 實踐永續共好的社會價值

對重視長期營運安全的企業主而言，艾陽科技的布局無疑提供了一個新世代的治理典範：在追求科技突破的同時，企業必須將對社會的責任與個資的尊重放在首位。艾陽科技預計於2027年通過國際雙驗證，這代表著未來不論是政府機關或民間企業，在導入艾陽科技的智慧解決方案時，皆能獲得具備第三方實力背書的資安保障。

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

前言

中聯油脂公司1300公噸大豆沙拉油驗出一級致癌物「苯駢芘」超標4倍，衝擊全台食安，不僅主管機關要求下架回收，也讓下游食品製造商、餐飲業者、通路及消費者高度關注，數百商家受影響。站在企業經營與董事會治理的角度，它更是一場企業風險管理（Enterprise Risk Management, ERM）的壓力測試。

食品安全事件真正受到考驗的並不只是產品品質，而是企業能否在第一時間掌握資訊、評估影響、快速決策、有效溝通並維持營運。食品供應鏈是高度分工產業，一項原料問題可能同時影響多家工廠、品牌及通路，因此事件本身只是起點，真正決定企業損失大小的，是背後的管理能力。

對企業而言，真正需要思考的問題不是事件是否會發生，而是當事件發生時，公司是否已經做好準備？

從ERM角度重新檢視中聯油脂事件

企業風險管理實質運作在於平時建立辨識、評估、監控及應變機制，使企業在重大事件發生時，仍能維持營運並達成經營目標。依據風險管理的框架ISO 31000，風險是不確定性對企業目標的影響，因此ERM真正管理的是企業面對不確定性的能力。

從ERM的角度重新檢視可以發現，中聯油脂事件暴露的是企業在供應鏈、營運、法遵、資訊及治理等面向的管理能力，而非單純的食品安全問題。

從上述分析可以發現，事件發生後管理階層在第一時間往往不知道哪些產品受到影響、哪些客戶已收到貨、是否需要全面停工、是否需要通知海外客戶，以及如何向主管機關、媒體與消費者說明。這些問題看似彼此獨立，實際上卻相互連動，其中任何一個環節失靈，都可能讓原本可以控制的事件迅速擴大。

換言之，真正的風險不是哪一桶油出問題，而是企業是否有能力在最短時間內掌握資訊、整合資源並做出正確決策。

從事件管理走向企業韌性

如果說ERM是企業辨識與管理風險的方法，那麼企業韌性（Business Resilience）就是企業面對重大事件時，持續營運並快速恢復的能力。韌性不是等危機發生後才建立，而是在日常治理中逐步累積。我認為企業應建立以下五項治理機制：

第一，建立供應鏈治理

供應鏈管理不能再只是採購部門的工作，而應成為企業整體風險管理的一環。企業應建立供應商風險分級制度，除了評估價格、品質與交期外，更應納入供應商的品質管理能力、法遵記錄、營運穩定性、資訊透明度及關鍵原料依賴程度等指標，定期進行風險評估與持續監控。

還應針對關鍵原料及重要供應商建立第二供應來源（Second Source）及替代方案，定期檢視供應鏈中斷情境下的應變能力，避免因單一供應商或單一原料失效而影響整體營運，逐步建立更具韌性的供應鏈管理機制。

第二，建立端到端數位追溯能力（End-to-End Digital Traceability）

這次事件除了食安外，企業真正需要追蹤的不只是產品，而是資訊。

當事件發生後，管理階層最迫切需要回答的，哪些產品受到影響？哪些客戶已收到貨？哪些通路正在販售？哪些產品仍在倉庫？哪些產品已出口？

然而，許多企業雖然已導入ERP、MES、WMS、SCM等資訊系統，資料如果仍分散於不同平台，部門各自管理，缺乏即時整合能力。發生危機時，企業往往需要花費大量時間人工比對批號、生產記錄、倉儲資料及出貨記錄。數位追溯不應只是滿足法規要求，而應成為企業風險管理的重要基礎建設。自端到端追溯能力，讓管理者能即時掌握產品流向、影響範圍及風險程度。

更重要的是，未來數位追溯不只是「查詢系統」，而應進一步結合AI、物聯網（IoT）及資料分析，建立即時預警機制。例如，當原料檢驗異常、供應商品質指標下降或特定批號產品出現異常時，系統即可自動示警，協助企業在事件擴大前採取應變措施。

數位追溯的價值若提升到預警風險，讓企業風險管理由被動走向主動，也是企業韌性的核心能力。

第三，建立跨部門危機管理機制

重大事件發生時越需整合，而不是分工。企業應成立跨部門危機管理團隊，由高階管理者統籌品保、採購、生產、法務、公關、資訊及業務等部門，建立明確的決策流程、權責分工及對內對外溝通機制，避免資訊混亂及重複決策。

第四，建立情境演練文化（Scenario Exercise）

許多企業都有危機管理手冊與營運持續計畫（BCP），卻鮮少透過實際演練驗證制度是否真正可行。沒有經過演練的制度，在危機發生時往往難以有效執行。食品相關產業應定期模擬食品污染、產品召回、供應商停工、重大媒體事件等不同情境，全面驗證資訊傳遞、決策流程、跨部門協作及對外溝通機制是否能順利運作。

除此之外，演練內容也應納入財務衝擊分析，例如產品回收成本、停工損失、現金流壓力及短期流動性需求等情境模擬，評估企業在不同危機下的財務承受能力與應變策略。透過定期演練、檢討與修正，將經驗回饋至風險管理制度與營運流程，才能真正提升企業面對重大事件的韌性，而不是停留在紙上計畫。

第五，強化董事會風險監督

董事會不應只在事故發生後聽取報告，而應在平時持續關注企業風險。除了財務績效外，董事會更應定期檢視供應鏈風險、產品追溯能力、關鍵風險指標（KRI）、危機演練成果及企業恢復能力，將企業韌性納入治理的重要指標。唯有董事會真正參與風險治理，企業才能從被動應變走向主動管理。

企業韌性不是避免危機，而是建立面對危機的能力

中聯油脂事件不是單純食品安全，而是提醒企業重新思考風險管理的本質。真正成熟的ERM，並不是建立更多制度，而是建立更好的管理能力；真正的企業韌性，也不是永遠不會發生危機，而是在危機來臨時，仍能快速辨識問題、快速決策、快速協調、快速恢復，並持續贏得客戶與市場的信任。

隨著AI、數位孿生（Digital Twin）及供應鏈分析工具快速發展，數位追溯的角色也正從「記錄過去」轉變為「預測未來」。未來企業競爭的不只是誰能追得快，而是誰能更早發現異常、更快完成決策，並將資訊轉化為風險治理能力。

作者介紹｜白佩華老師

為風險與企業韌性顧問，亦為(現任)企業集團策略長、企業永續與AI治理講師，長期關注企業風險、永續轉型、台商布局與氣候治理議題。現亦擔任永續節目主持人及專欄作者，致力以實務觀點連結風險管理、企業韌性與治理轉型，推動企業在不確定時代建立更具韌性的決策能力。

資料來源：今周刊

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

前言

近年來，國內產業供應鏈與政府採購對於資安合規的要求產生顯著提高。沐奇資訊股份有限公司（以下簡稱沐奇資訊）的執行長趙英豪更指出，隨著時間推移與資安威脅加劇，現在無論是參與大型企業專案或是政府標案，公司本身是否具備 ISO 27001 資安認證，已經成為審查的第一關，更是不可或缺的標配。

為此，沐奇資訊繼榮獲第十六屆金炬獎展現企業創新實力後，在華宇企管的輔導下，近期正式通過審查，順利取得 ISO 27001資訊安全管理系統認證，全面拉高資訊服務的安全規格。

從細節出發，全面構築資安系統防禦力

許多企業主在委託軟體開發時，最擔心的往往是系統上線後的資安漏洞。沐奇資訊創立以來，一向秉持「在您看不見的地方，為您做得更細緻」的服務理念。無論是針對金豐機器等大型製造業的智慧化延伸，還是跨境物流平台 Shipgo 的高頻率交易系統，沐奇資訊皆透過客製化的開發實力，在架構底層落實異地備援、嚴格的版控機制以及多層次的資料安全性防護。

為了將原有的資安防護機制與國際標準全面接軌，沐奇資訊導入 ISO 27001系統。從內部的日常作業規範、開發環境的權限管控，到專案原始碼的安全檢視，全面建立起標準化、可追溯的管理流程。

三階段布局資訊安全，打造全方位信任基石

執行長趙英豪透露未來的「三階段資安升級藍圖」。第一階段聚焦於強化既有的資安管理體系、順利取得 ISO 27001資安認證，確保專案開發環境與機敏資料受到國際級保障。緊接著，將朝向第二階段的「ISO 27701 隱私資訊管理」與第三階段的「AI 相關 ISO 國際證照」邁進。

藉由將資安與科技的法規框架完整對接，沐奇資訊不僅能滿足高標準的標案合規性，更能為客戶建構兼具法規遵循與高彈性防禦的數位架構，為台灣產業雙軸轉型貢獻最堅實的數位防盾。

卓越專案品質，陪伴台灣企業厚植數位轉型力

身為客製化軟體開發專業團隊，沐奇資訊持續透過實質的專案品質贏得上市櫃企業、世貿中心與各大研發中心的肯定。面對未來更多元的雲端服務與跨平台整合挑戰，沐奇資訊表示，通過 ISO 27001 只是資安治理的起點。未來將持續精進技術實力，提供兼具創新、高度延伸性與國際資安標準的數位解決方案，陪伴台灣企業主在數位轉型的浪潮中，走得更穩健、更安心。

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

一、前言

溫室氣體排放量增量抵換管理辦法（即本辦法）是依據《氣候變遷因應法》第 24 條授權訂定，主要在處理一定規模之新設或變更開發案，排放源達一定規模者，應依溫室氣體增量之一定比率進行抵換，以降低對氣候變遷造成之衝擊，為使事業有一致性作法並知所遵循，本辦法明定有應進行增量抵換的事業、增量估算方法、抵換期程，以及申請、執行及審查等相關作業規定，共計 15 條，已於西元（下同）2023 年 10 月 12 日發布施行，另本文所稱「增量抵換」屬促進溫室氣體減量的重要對策之一，相關重點如下。

二、依本辦法應進行溫室氣體增量抵換之事業

（一）適用類型

1. 工廠之設立，且其溫室氣體年排放量（包含直接燃燒排放及間接使用排放）達 2.5 萬公噸二氧化碳當量。

2. 園區之興建或擴建。

3. 火力發電廠、汽電共生廠興建或添加機組工程。但以天然氣為燃料或新設每部機組 2.5 萬瓩以下者，不在此限。

4. 高樓建築之開發。

（二）適用情形

1. 新設排放源達一定規模者：指事業申請上述 4 類開發行為許可，其開發行為依「開發行為應實施環境影響評估細目及範圍認定標準規定」應實施環境影響評估，且涉及增加溫室氣體排放量者。

2. 變更排放源達一定規模者：指事業於上述 4 類開發行為通過環境影響評估審查後，變更原申請內容或審查結論應重新辦理環境影響評估審查，且其溫室氣體排放量增量達 10 % 以上者。

3. 另於本辦法施行前已通過環境影響評估審查之上述各類開發行為案件，亦納入適用範圍。

三、增量抵換應遵循之規定

（一）估算範圍、方法及抵換比率與期間

1. 溫室氣體排放量增量應包含「直接排放」與「間接排放」在內，即依開發行為範圍內年度使用之原（物）料、燃料種類及使用量、外購電力或蒸汽量為整體估算其估算方式以排放係數法、質量平衡法或其他經中央主管機關認可方法為之。

2. 為簡化行政作業並提升行政效率方式推動溫室氣體排放量增量抵換作業，所以規定事業開發行為以「一次性估算營運期間整體排放量增量」並抵換增量，而非於開發行為內各別廠（場）、製程或排放源新設時分別估算予以抵換增量。

3. 溫室氣體排放量增量，其抵換比率以每年 10 %，連續執行 10 年為原則；惟為利事業提早執行完成增量抵換作業，亦開放每年超過 10 % 方式抵換，直至應抵換總量全數抵換完成，即執行期程得少於 10 年。

（二）事業如何申請增量抵換

1. 事業應於環境影響評估審查通過後營運日前，向主管機關申請溫室氣體增量抵換。

2. 所謂營運日，指事業於開發行為範圍內首次取得固定污染源操作許可證之有效期限起始日或建築使用執照核發日。

3. 應檢具文件：

（1）目的事業主管機關核准設立、登記或營運之相關證明文件；

（2）開發行為內容及環境影響說明書（或評估書）；

（3）溫室氣體排放量增量推估與抵換計畫；

（4）其他主管機關指定之文件。

（三）事業如何提出執行報告

1. 事業應於營運日起依主管機關審查通過之抵換計畫執行增量抵換，並於每年 12 月 31 日前向主管機關提報當年度溫室氣體排放量增量抵換執行報告。

2. 執行報告應包括內容如下：

（1）事業名稱及其營業所或事務所；

（2）開發行為之名稱、開發場所；

（3）開發行為內容及期程，含分段（分期）開發期程；

（4）環境影響評估書件所載溫室氣體排放相關內容；

（5）溫室氣體排放源、原（物）料、燃料種類及用量、外購電力或蒸汽量；

（6）溫室氣體排放量增量；

（7）溫室氣體抵換執行情形（包含獲得減量額度、減量效益類型、帳戶核撥及抵換數量情形）。

（四）機關受理事業申請增量抵換及執行報告處理原則

1. 主管機關受理增量抵換或執行報告，應於 90 日內完成審查，並將審查結果作成准駁之決定。

2. 主管機關審查提送資料，經形式審查不合規定或內容有欠缺，或實質審查內容資料須補正，應詳列補正所需資料，通知事業限期補正，補正日數不計入審查期間，補正總日數不得超過 30 日；屆期未補正或補正仍不合規定者，始得駁回。

資料來源：貝爾驗證

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

前言

2026年台灣金融圈在數週內接連爆發兩起重大舞弊：地政士勾結橫跨13家銀行、涉案行員多達60人；台中商銀四家分行主管集體協助詐騙集團洗錢36億元，創下史上最高裁罰3,200萬元。更早之前，台泥綠能幹部在漁電共生工程中索賄逾3,000萬元，重創集團長期建構的ESG形象。

這些案件的共同特徵：沒有任何一件是由董事會稽核委員會主動揭露，全部來自外部檢調或金管會金檢。「發現弊案靠司法、不靠治理」，本身就是最嚴重的治理失靈訊號。

兩種面貌，同一個治理命題

銀行弊案讓人看見的是行員與第三方勾結的顯性舞弊——反洗錢失守、法遵崩潰、主管層被滲透。台泥綠能案提醒的則是另一種風險：非金融業的治理問題，不一定長成收賄或洗錢的樣子，它也可能以財報更正、子公司治理鬆散、重大事件回報不完整、ESG業務採購控制失靈的形式出現。

對大型企業集團而言，真正的挑戰往往是當海外投資、能源轉型、跨國併購愈來愈複雜時，董事會能否掌握真實風險？子公司與母公司之間資訊是否對稱？關係人交易與揭露品質是否足以支撐市場信任？

兩種弊案樣態，表面不同，底層卻是同一件事：公司是否有能力把風險誠實地看見、即時地上報、清楚地揭露，並在董事會層級形成有效監督。這正是反舞弊與永續治理共同的核心命題。

ESG評分體系 VS反舞弊？

國際ESG評級機構對反舞弊的評估，遠比多數台灣企業所理解的更為精密。MSCI ESG Rating對「商業道德」的評估涵蓋政策完善性、管理體系有效性與爭議事件紀錄三層，一旦觸發爭議事件，影響期通常維持三到五年，遠超新聞週期。台中商銀案的起訴與史上最高罰款，在此框架下屬於Controversy Score嚴重惡化的觸發事件。

著名的Sustainalytics則將舞弊風險量化為「殘餘風險」：管理差距（Management Gap）一旦被事件證實，評分立即惡化。台泥綠能案的特殊性在於：在ESG業務本身發生賄賂，屬於雙重管理失敗，扣分幅度因此不成比例地大。

台灣ESG評鑑自2026年轉型，商業道德自治理面(48%)轉被納入S構面，權重大幅提升至31%。然而評鑑的根本限制未變：資訊來源仍依賴企業自行揭露，弊案爆發前的評鑑結果完全無法預警。重大違規的事後扣分是懲罰，不是預防。這個制度缺口，正是治理真正需要填補的地方。

稽核與永續：天然張力，還是互補力量？

稽核的本質是「向後看」的驗證功能——確認過去發生的事是否符合規範、數字是否真實。永續的本質是「向前看」的策略功能——識別未來風險、建立長期價值框架。這個本質差異，正是兩個功能在多數企業各自為政的深層原因。但這個分裂，恰好製造了治理最大的盲區。

讓兩個功能真正形成互補，需要五個制度性接觸面：

1. 稽核的風險評估結果，必須成為永續重大性評估的強制輸入，當採購管理存在缺口，應自動觸發重大性矩陣中「商業道德風險」的評分調整；

2. 內部稽核應每年對高重大性ESG指標進行數據溯源稽核，確保永續報告數字的可稽核性，這是反漂綠的防線；

3. 供應鏈誠信需要採購管理與ESG盡職調查的雙軌交叉驗證，而非分頭審查同一批供應商；

4. 舉報機制應由稽核委員會直接接收（繞過管理層），永續委員會則定期接收去識別化趨勢分析，讓異常舉報同時觸發兩方的關注；

5. 當ESG指標納入高階主管薪酬考核，稽核委員會應承擔「ESG薪酬指標數據稽核」的職能，防止績效造假。

讓互補真正運作，需要三個制度設計：稽核與永續單位每半年舉行聯席會議，內容固定包含稽核發現中的ESG相關項目，結果呈報董事會；稽核以諮詢委員身分列席永續會議，永續主管定期向稽核單位報告ESG數據採集流程；建立雙功能風險對應矩陣，讓稽核的「控制缺口」與永續的「重大性議題」系統性映射，任何一方的風險發現都能自動觸發另一方的關注。

永續管理不是第二個稽核，而是治理及風險的翻譯者

這是很多企業最容易誤解的地方：永續不是第二個稽核，也不是第二個法遵。永續單位真正的價值，不在於自己去抓舞弊、辦案或追責，而在於把舞弊風險從「個案違規」翻譯成「治理風險、揭露風險與信任風險」，讓董事會聽得懂、看得見。永續管理至少可以做五件事：

1. 把舞弊納入ESG重大性分析；

2. 把反舞弊做成可衡量的治理指標，包含誠信訓練覆蓋率、吹哨案件處理時效、重大違規改善完成率、供應商廉潔承諾覆蓋率；

3. 把重大舞弊事件納入永續報告，避免只報喜不報憂；

4. 把反舞弊從員工道德問題提升為制度與文化問題；

5. 將誠信治理與供應鏈、永續金融、投資人盡職調查連結，因為誠信治理正逐步成為合作與融資的門檻。

這個角色在專業分軌上屬於G的治理誠信，是目前台灣市場最稀缺、最需要被建立的永續專業定位，懂得治理架構，又能說ESG語言，成為稽核與永續委員會之間真正的橋接者。

治理閉環：誰把風險接力到下一站

企業若真的想把反舞弊做成治理能力，就不能再讓稽核、法遵、風控與永續各自為政。比起爭論誰是主責單位，更重要的是建立一條完整的治理鏈，建議如下：

圖片來源：白佩華製圖

這條鏈的價值在於，它把舞弊從「單點事件」變成「治理閉環」。稽核處理事實與證據，法遵處理違規與責任，永續處理事件對揭露可信度與利害關係人信任的影響，風控則把事件轉成可監測的高風險流程與預警指標。最後，董事會不能只聽報告，而必須要求管理階層把制度真正改掉。沒有最後這一步，前面所有工作都可能淪為一次性的補洞，而不是治理升級。

台灣上市櫃企業中，真正落實這條治理鏈的不多，多數企業的稽核委員會與永續委員會之間，除了年報的形式協調，幾乎沒有實質的制度性對話。這個現實在ESG評鑑轉型的壓力下，將愈來愈難以為繼。

反舞弊是維護信任資本的核心工程

13家銀行、60名行員與地政士勾結的案件，給台灣企業最重要的提醒是：今天真正的風險，不是單一員工收了多少回扣，而是企業是否仍用傳統內控思維，面對已經升級成第三方風險、行為文化風險與ESG治理風險的舞弊挑戰。

企業需要的不是一套更漂亮的誠信守則，而是一個能夠及早辨識高風險第三方、看見異常激勵、鼓勵吹哨、敢於揭露失敗，並把舞弊風險轉化為治理行動的系統。

作者介紹｜白佩華老師

為風險與企業韌性顧問，亦為(現任)企業集團策略長、企業永續與AI治理講師，長期關注企業風險、永續轉型、台商布局與氣候治理議題。現亦擔任永續節目主持人及專欄作者，致力以實務觀點連結風險管理、企業韌性與治理轉型，推動企業在不確定時代建立更具韌性的決策能力。

資料來源：今周刊

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

前言

為應對國際淨零趨勢、滿足供應鏈要求（如客戶要求提供碳排放數據）、符合日益嚴格的法規（如台灣環境部規範）、提升品牌國際形象，並藉此系統化管理碳排放，找出減排熱點，降低營運成本與氣候風險，以確保企業在永續發展浪潮中保持競爭力。旭東機械工業股份有限公司(SHUZ TUNG MACHINERY INDUSTRIAL CO., LTD.，以下簡稱旭東機械)於2025/9/9正式啟動 ISO 14064-1溫室氣體盤查導入專案，將建立具國際標準的碳盤查機制。專案啟動期間，由華宇企管顧問團隊輔導推動，於2026年5月完成2025年度盤查與驗證作業，為後續的節能減碳行動與永續策略奠定堅實基礎。

旭東機械深耕傳動與自動化領域

從傳統模具製作與自行車設備開發起家的旭東機械，主要的產品涵蓋光電、半導體、AOI電子設備等，廣泛應用於半導體、電子與醫療產業。伴隨著市場與科技的演進，公司也持續轉型升級，長期為客戶提供整合規劃，包含設計、製造、訓練等，為客戶提供最頂尖的服務。公司以穩定的製程能力與客製化設計，成為多家指標性機械廠與自動化設備商的長期合作夥伴。

面對國際供應鏈的需求趨勢，旭東機械積極因應，目前已通過ISO 9001、ISO 14001與ISO 45001認證，近期將再導入ISO 14064-1溫室氣體盤查標準，這象徵著旭東機械將減碳能力納入營運核心，實踐綠色製造與環境責任。

推動ISO 14064-1，旭東機械邁向低碳轉型新階段

隨著碳稅與碳關稅制度的上路，碳管理已成為國際競爭力的關鍵。透過導入ISO 14064-1，旭東機械將檢視日常營運中的能源使用、製程活動與運輸配送等階段的排放量，建立標準化的碳排清冊與資料管理系統。透過掌握排放熱點，規劃節能改善與設備汰換的方向，藉此逐步降低碳排放，並提升節能效率。這份國際標準能協助企業精準定義範疇一、二及關鍵的範疇三數據，讓原本隱形的碳流轉化為透明、可追蹤的營運數據。這不只是單純的數據盤查，更是旭東機械展現減碳實力的有力證明。

同時，旭東機械將碳管理融入日常營運，推動制度化的永續治理，逐步朝向低碳製程與碳中和目標邁進，實現「綠色製造、永續經營」的企業願景。此外，也能滿足客戶在減碳與環保合規上的要求，進而提升企業信任度與品牌形象。

以永續為本，開創低碳製造新典範

面對全球淨零趨勢與政策，國際大廠對供應鏈的減碳要求也日趨嚴謹。若企業無法跟進，將無法滿足品牌商的要求，業務推展將會受重重險阻。旭東機械積極推動ISO 14064-1碳盤查，將持續以數據化的管理思維深化減碳策略，並結合創新技術與環保理念，打造高效率、低碳排的製造模式。同時，這也象徵旭東機械邁向環境管理的新里程碑，在未來，旭東機械將持續推動能源優化與碳管理制度，為台灣精密製造產業樹立低碳永續的新標竿。

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

前言

近年來，隨著政府的宣傳及國際社會的重視，永續開始走進生活裡。現在的消費者，在意的不再只有東西好不好吃，而是這份產品背後的企業，是否也願意對環境多盡一份心力。當永續逐漸成為市場的新標準，食品產業也正式走進減碳競爭的新時代。 帶著對消費者的期待及對企業社會責任的自我要求，身為全家便利商店關係企業的福比股份有限公司(FOPI BAKERY CO., LTD.，以下簡稱福比)，通過ISO 14064-1認證，並在近期舉行了ISO 14064-1 組織型溫室氣體盤查授證儀式，由林純如總經理代表公司接下這份意義重大的證書，這象徵福比在追求美味的同時，也開始用更實際的行動回應環境責任。

排除萬難，建立更完整的碳盤查制度

食品產業的減碳作業其實很不容易。因為一份產品的背後，都牽涉到原料來源、設備耗能、冷藏運輸、包裝材料，甚至工廠每天的用電與水資源，都和碳排放息息相關。消費者看到的，也許只是一個剛出爐的麵包，但企業真正要面對的，卻是背後龐大又繁瑣的數據與管理流程。

福比在碳管理的建立過程中，始終將「數據嚴謹」放在首位。為確保首年碳盤查的資料最為正確，福比與顧問團隊經過縝密討論、詳加確認，調整了數據收集的深度與回溯範圍。基於對資料嚴謹的要求，雙方達成共識，將盤查年度調整並延後至 115 年完成。透過這樣穩紮穩打的策略，福比期盼能以最真實、精確的數據，作為未來減碳行動的穩健基礎。雖然花了更多時間，卻也因此建立出更完整的碳管理制度，順利通過國際第三方查驗。

從生產線開始，把減碳真正放進日常裡

現在的碳管理，早已不只是法規要求，而成為企業能否被市場信任的重要關鍵。從品牌形象、供應鏈合作到未來競爭力，永續，正在改變整個食品產業的方向。因此，福比相信，幸福不只是做出好吃的麵包，更是讓大家吃得安心，也讓下一代能持續擁有更好的生活環境。因為透過盤查，公司不只能掌握生產線的碳排熱點與能源使用狀況，也逐步展開減碳作業，從設備管理到能源效率改善，福比希望用更透明、更踏實的方式，回應市場對減碳及企業永續的期待。

從麵包讓幸福延續，承諾與環境共好的未來

福比表示，這次的授證儀式不只是推動ESG的里程碑，更是一份對消費者、合作夥伴與環境的承諾。回到品牌的初心，公司深信只有兼顧食品安全與環境永續，才能讓這份幸福延續下去。未來，福比將持續研發高品質產品，同步深化永續行動，邁向淨零碳排的目標，讓幸福從入口的那一刻能一直永續。

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

一、引言：全球綠色貿易戰中的數位簽證

在 2026 年的今天，環境、社會與治理（ESG）已不再是企業的選擇題，而是生存的必答題。特別是隨著歐盟《永續產品生態設計法規》（ESPR）與《數位產品護照》（DPP）的全面實施，全球對於產品環境衝擊數據的「真實性」與「流動性」產生了前所未有的渴求。

ISO 14025 作為 III 型環境宣告（EPD）的母法，自 2006 年發布以來，其核心邏輯一直建立在「紙本文件」的基礎上。然而，FDIS 版本所提出之修訂方向，預期將大幅改變既有環境宣告之數位化架構。這次改版的核心目標，是將環境數據從難以解析的 PDF 文件中解放出來，轉化為具備「機器可讀性（Machine-Readability）」的數位資產。

這不僅是一次技術升級，更是全球產業鏈數據交換規則的重新定義。接下來將針對「條文架構」、「數位化宣告與語意化資料模型」及「PCR 階層化與全球協調機制」等重點剖析。

二、條文架構的調和重組：ISO HS 調和結構之全面導入

2026 版最顯著的外觀變革是全面導入了 ISO 的調和結構（Harmonized Structure, HS）。這使得 ISO 14025 終於能與 ISO 14001（環境管理系統）及 ISO 50001（能源管理系統）在語言與邏輯上達成同步。

（一）組織背景與數據責任（條文第 4、5 節）

新版條文強調，EPD 不應只是單次性的產品行銷，而應是組織環境戰略的一部分。

1. 領導力與承諾：企業高層必須對環境數據的準確性負責，這為未來可能的「碳審計」責任奠定了法律基礎。

2. 數據生命週期管理：條文要求組織必須建立一套系統化的數據採集流程，而非僅在申請驗證時才東拼西湊。

三、重大變革一：數位化宣告與「語義化資料模型」

在 2026 版標準中，最關鍵的變革在於定義了環境數據的「共通語法」。過去 EPD 難以自動化處理，主因在於資料結構的「方言化」。這是 2026 版最具革命性的章節（條文第 6.2 節）。新標準定義了 EPD 的「數位孿生（Digital Twin）」概念。

（一）機器可讀性（Machine-Readability）的技術要求

條文強調環境宣告資料之機器可讀性與數位資料交換能力，未來預期將逐步朝支援 JSON-LD 等機器可讀格式發展。這對於企業的 IT 架構提出了新要求：企業的環安衛系統（EHS）宜具備 API 輸出能力，以利對接計畫營運者（Program Operator）之數位平台。

（二）數據顆粒度（Data Granularity）

數位 EPD 不再只顯示一個最終的「全球暖化潛勢（GWP）」數值，而是必須細分至 A1（原料）、A2（運輸）、A3（製造）等模組化數據。這讓下游廠商在進行範疇三（Scope 3）排放計算時，能直接「一鍵導入」數據，消除手動輸入的人為錯誤。

（三） 通用唯一識別碼（UUID）

每一個數位 EPD 數據包都有其身分證，這與歐盟的 DPP 技術架構具有高度相容性。

（四）語義互操作性（Semantic Interoperability）

1. 透過連結資料技術，2026 版解決了「名詞不統一」的問題。例如，「碳足跡」與「全球暖化潛勢」在不同資料庫中可能有不同的代碼，新版標準定義了統一的數據標籤，確保不同軟體間的對話毫無障礙。

2. 標準化標籤（Standardized Ontology）：每個環境影響指標（如 GWP 100）都可透過數位身分標識符（URI）進行一致性識別與交換。當數據從供應商傳遞到採購商時，系統能自動識別該數值是否包含「生物碳存留」或「土地利用變化」，確保數據比對的基礎一致。

3. 多維度屬性掛載：數位 EPD 必須掛載元數據（Metadata），包含盤查工具版本、特徵化模型（如 CML 或 ReCiPe 版本）等，這讓後端的 LCA 軟體能自動校準計算模型。

四、重大變革二：PCR 階層化與全球協調機制（條文 7.2 與 7.3）

PCR（產品類別規則）的開發一直是 EPD 的混亂來源。2026 版透過「階層化」與「相互承認」兩大機制來解決此問題。

（一）核心 PCR（Core PCR）的權威性

2026 版引入了層級化的 PCR 架構：

（二）強制調和機制（Harmonization Requirement）

條文要求計畫營運者（Program Operator）在開發新 PCR 前，必須先檢索全球現有標準。若已有國際互認的規則，則必須「優先採納」或提供「差異分析」。這將有效減少「綠色壁壘」，有助提升不同計畫間之 EPD 相互承認與應用效率 。

（三）開發前之強制性檢索（Mandatory Gap Analysis）

新版規定開發新 PCR 前必須提交一份「現有規則缺口分析報告」。若全球已存在相似規則，開發者必須優先採取「修補（Addendum）」而非「新建」。這大大降低企業在不同國家申請 EPD 時，因規則細微差異而導致的重新盤查成本。

（四）核心 PCR（Core PCR）的法制化

新版條文定義了Core PCR 的優先級。例如，針對建築產品，若存在 ISO 21930 或是由多個計畫營運者共同簽署的通用規則，個別計畫營運者便不得隨意開發與之衝突的子規則。

（五）跨領域通用規則

條文 7.2.5 節強調了「跨產業影響指標」的一致性。例如，包裝材在「電子業 PCR」與「食品業 PCR」中，其計算邊界與回收信用（Recycling Credits）的分配比例必須趨同。

五、全球互認（Mutual Recognition）的法律效力

隨著 CBAM（碳邊境調整機制）的推進，EPD 數據已具備準法律地位。2026 版在第 11 節強化了跨計畫的互認機制。

小結

ISO 14025：2026 並非僅是環境資訊揭露準則，而是一套數位數據交換協定。它解決了環境宣告長期以來「難讀、難算、難信」的痛點，並透過 PCR 的階層化，強制全球計畫向大一統邁進。

【下篇】將針對數據品質評分（DQI）、動態驗證程序以及區塊鏈數據保護進行解析。

參考資料：

1. ISO/FDIS 14025:2026-03 Environmental labels and declarations — Type III environmental declarations — Principles and procedures.

2. ISO 14040/14044:2006 Life cycle assessment — Principles and framework.

3. EU Commission Regulation on Ecodesign for Sustainable Products (ESPR).

資料來源：貝爾驗證

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

針對三類組織的導入路徑與策略關鍵

一、轉版升級型：ISO 27001 與 ISO 27701 均已導入之組織

對於目前持有 ISO 27001 與 ISO 27701：2019 證書的組織，核心任務在於平穩過渡至 ISO/IEC 27701：2025 新版要求。

組織應首要執行差異分析，並因應新版標準的高階結構（HS），將原有的隱私管理程序進行整合，以優化 ISMS 與 PIMS 的協作效率。在關鍵調整方面，除需進行人員新舊版差異培訓外，必須重新執行隱私風險評鑑，並產出對應新版 Annex A（控制者）或 Annex B（處理者）控制措施的新版適用性聲明書（SoA）。

在執行路徑上，應強化個資存取權限的精細化管理與稽核軌跡，最後透過獨立的 PIMS 內部稽核與管理審查，於轉版過渡期間（通常為三年，實際依 IAF 公告）完成第三方驗證。

資料來源：貝爾驗證

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---

前言

企業過去習慣用歷史經驗管理風險，但這套邏輯正在失效。強對流風暴、野火、內陸洪水、颱風路徑變化、缺水、停電與供應鏈中斷，正在讓企業面對一種新的經營環境：風險不是偶發事件，而是持續累積的營運壓力。

Verisk近期對災害模型的發展也開始轉變。它提醒災害模型的目的不是預言災害，而是處理機率、發現不確定性，讓保險公司、再保險公司、企業與社區可以在不確定中更有信心地行動。真正的風險管理差距，不只在於誰買得起最昂貴的模型，而在於誰能及早建立自己的風險視野。

Verisk Analytics（NYSE：VRSK）這家專為全球保險業提供預測模型、風險評估與決策支援的公司發表了On the Edge of Risk and Resilience及Catastrophe Exposure Management: Taking More Ownership of the Risk顯示了模型三大趨勢：

一、從年度檢討走向持續曝險管理

災害模型正從歷史經驗走向近即時、前瞻式、開放式模型生態系。企業或保險業者過去只在年度續保、再保安排或風險盤點時才使用災害模型。但現在，災害風險已經進入全年性的承保、資本配置、供應鏈管理、營運持續、保險安排與董事會治理。

這代表災害風險不應只在保險到期或永續報告前被拿出來討論，而應該成為經營管理的一部分。企業不能只問保費多少或保額夠不夠，而要問：主要廠區若停工七天，現金流是否承受得住？關鍵供應商若逢災害意外，是否有替代來源？物流港口若受阻，交期是否違約？保單是否涵蓋營業中斷、供應鏈中斷、洪水、地震或機械故障？若災害發生，保險理賠時間是否能減緩企業現金流壓力？

二、從單一模型走向多模型生態系

Verisk透過收購Nasdaq Risk Modelling for Catastrophes平台，擴大第三方超過300個模型的使用，這反映出災害風險已複雜到不能只依賴單一模型、單一假設或單一資料來源。

未來的風險管理更像是模型組合管理，不同模型可能使用不同災害資料、氣候假設、工程參數與損失函數。企業要學會比較模型之間的差異，而不是期待模型給出唯一答案。

三、雲端化、平台化與自動化

災害模型不再只是一份靜態報告，而是逐步變成企業管理節奏中的動態工具。目標是提升災害模型運算的彈性、速度、可擴充性、自動化流程與一致性。這對保險業、再保險業與大型企業都很重要，因為未來的災害風險管理不會是一年一次的模型報告，而是需要不斷更新、反覆測試、快速回應的管理流程。對保險公司而言，這是承保、組合管理與再保決策的工具。對一般企業而言，則可以轉化為廠區曝險、供應鏈韌性、財務壓力測試與保險缺口管理的決策平台。

AI不是取代模型，而是降低模型門檻

AI的角色不是用來取代Verisk這類大型災害模型，也不是讓企業相信自己可以用一般生成式AI預測下一場颱風、地震或洪水。AI真正的價值，是降低資料整理、文件解讀、情境摘要、異常辨識與管理報告的成本，讓更多企業可以建立自己的風險視野。

大型災害模型需要大量資料，包括地理位置、建築結構、地形、氣候、歷史損失、保險理賠、資產價值、工程參數與財務假設。過去這些資料需要專業團隊整理與解讀，因此模型使用門檻很高。AI出現後，企業至少可以先處理自己可掌握的資料：保單、廠區清單、供應商資料、設備價值、庫存天數、歷史停工紀錄、維修紀錄、營收依賴度、客戶合約與持續營運計畫(BCP)文件。

AI可以協助企業結構化資訊。例如，把保單條款整理成保險缺口表；把供應商地址轉成地區集中度；把歷史災害事件整理成風險提示；把「停工七天、十四天、三十天」轉成營收、毛利、現金流與違約風險情境分析；把BCP文件轉成缺口清單；最後再把這些資訊整理成董事會或經營會議看得懂的一頁式風險儀表板。

AI的定位不是災害預測工具，而是風險智能助理。它不可替企業做最後判斷，但可以幫助企業更快把分散在各部門的資訊整合起來，讓風險不再只是抽象名詞，而是變成可以被管理層討論的營運和決策助理。

中小企業買不起大型風險模型，但不能沒有模型思維

對中小企業而言，不可能購買高階災害模型、建立團隊、進行情境模擬與資本模型分析，建立完整災害模型，但不能因此放棄模型思維。

事實上，中小企業需要的不是災害模型(catastrophe model)，而是營運風險模型(business risk model)。它不必模擬所有災害的分布機率和計算；但它至少可以用AI建立一套自己的曝險、衝擊以及行動模型，不須追求精算上的完美，只要適用於管理即可。

---

• 從艾陽科技啟動雙驗證專案，看AI時代的資安新標準
• 中聯油脂食安風暴！企業面對危機應具備的5項核心能力
• 沐奇資訊通過 ISO 27001 驗證，搶攻政府標案與信任商機！
• 溫室氣體排放量增量抵換管理辦法（上）
• 企業反舞弊如何納入ESG治理？公司治理升級的五大關鍵

---