報導者：中華公司治理協會研究員 閻書孝
左起:中華票券金融公司總稽核王興邦、元大期貨股份有限公司獨立董事黃榮顯、中華公司治理協會理事長呂東英、國際性企業資深法遵主管顧問林宏義、理律法律事務所合夥人律師黃政傑
兆豐銀行去年9月傳出，因疑似洗錢而遭美國紐約州金融監理署重罰1.8億美元，引起國內譁然，熱議多時。這起事件也引發對公司治理及董事監督義務之探討。在全球化時代，大企業及金融機構很多都跨海經營，董事會實無法監督各子公司、各分行的業務，故從法令遵循的角度，如何理解董事的監督義務？
中華公司治理協會在「國際公司治理判決資料庫研究會」裡，特別邀請輔仁大學財經法律學系教授郭大維，以「從兆豐銀事件談-企業法令遵循與董事監督義務」為題，分享國內外法官如何判決董事的監督義務，另再邀請中華票券金融公司總稽核王興邦、國際性企業資深法遵主管顧問林宏義、理律法律事務所合夥人律師黃政傑、元大期貨股份有限公司獨立董事黃榮顯一起探討。
王興邦首先分析了兆豐銀行近年發展及公司治理的結構，分享他對兆豐受裁罰事件發現。回顧2008至2015年間兆豐銀行的營業績效相當亮眼：稅前淨利成長131.56％、股本回報率(ROE)成長27.78％、資產回報率(ROA)成長16％，海外分行及國際金融業務分行(OBU)獲利占銀行獲利50％（遠高過同業平均的30％），但亮眼的財務數字背後，兆豐其實存在著遇缺不補、一人身兼數職的問題。因此他對兆豐提出以下的問題，供現場聽眾思考討論：
- 兆豐銀行是第一次面臨海外當地金檢嗎?沒有處理過類似狀況嗎?
- 兆豐銀行內控失靈、外檢失效是個案嗎?還是大部分的銀行都這樣呢?
- 如果當兆豐銀行於2016年2月9日收到紐約州金融監理署的金檢報告，對該分行之綜合評等由「滿意」調降為「尚可」，法令遵循細項評等由「滿意」調降為「欠佳」 ，並在3月底董事會中提出報告(那次董事會蔡友才董事長辭職)，結果會怎樣?
- 紐約州金融監理署金檢綜合評等由「滿意」調降為「尚可」，法令遵循細項評等由「滿意」調降為「欠佳」 這樣的評等與原裁罰金額罰金3.5億美元，是否存在著認知上的落差?
- 2015年10月5日、2016年2月9日及2016年5月18日，已經有明確的懲處訊息，兆豐銀行為甚麼不派總行高層去美國紐約州金融監理署遊說解釋呢?若他們去遊說解釋，則結果會不一樣嗎?
- 在2016年2月9日收到紐約州金融監理署的金檢報告時，如果兆豐銀行總稽核將美國紐約州金融監理署近年來因為違反反洗錢法、銀行保密法而遭天價罰款的訊息提供給高階經理層，會有不同的結果嗎?
他指出，兆豐銀行其他的奇特徵兆，比如表面上公司獲獎無數、董事長聲望高，而且獨立董事學經歷素質佳（信託公會理事長黃添昌、經濟學家馬凱、金融研訓院副院長陳泰隆）、中高階主管機關都內升，但實際上銀行內部也存在不少問題，比如海外分行在洗錢防制上有缺失、稽核人員有業務壓力、內部治理為一人獨權。這些企業文化，具體反映在近年來兆豐銀行外部監理失衡而受裁罰上：
整體來看，他指出這次遭裁罰1.8億美元的問題是：公司財務績效導向，以成本優先的經營策略自然導致分工不佳問題。另外，在公司內部存在治理失衡問題，為強人領導一言堂。公司表面上在外是績優企業，造成了內部自大而驕傲的組織文化及企業人才培育出現青黃不接現象，最後錯失停損的時機點。所以他認為，整個企業文化的發展是一個隱然、漸進式的發過程，就算強人離去，未必也不保證不會再發生。
因此他在結論中是以內部控制為角度提出三道防線，並探討董事會和高階經理人的職責：
- 第一道防線：銀行各單位就其功能及業務範圍，承擔各自日常事務所產生的風險，其應該負責辨識及管理風險，針對該風險特性設計並執行有效的內部控制程序以涵蓋所有相關之營運活動。
- 第二道防線：依其特性協助及監督第一道防線辨識及管理風險，其包含風險管理、法令遵循及其他專職單位，其就各主要風險類別負責銀行整體風險管理政策之訂定、監督整體風險承擔能力及承受風險現況、並向董事會或高階管理階層報告風險控管情形。
- 第三道防線：係內部稽核單位，應以獨立超然之精神，執行稽核業務，協助董事會及高階管理階層查核與評估風險管理及內部控制制度是否有效運作，包含評估第一道及第二道防線進行風險監控之有效性，並適時提供改進建議，以合理確保內部控制制度得以持續有效實施及作為檢討修正內部控制制度之依據。
- 董事會及高階經理層：銀行的董事會及高階管理階層應積極協助及指導三道防線之建立，清楚界定各道防線之角色功能及權責。管理階層建立三道防線架構時，應考量各銀行活動的性質、大小、複雜程度及風險狀況進行調整，但其調整需能確保三道防線之有效性。董事會及高階管理階層應持續確保組織架構符合三道防線原則，督導該架構之有效運作，並對其有效性負最終之責任。
另外在公司治理與企業組織文化上，他也提出幾點建議：
- 在金融監理與金融創新的平衡上，應採多元化的競爭策略與獲利模式，並嚴懲違法行為者。
- 在成本、績效導向及風險管理的平衡上，應該避免決策過度向績效及成本傾斜，並且重新檢討平衡計分卡的KPI和業務對獎金和升遷的連結。
- 在公司治理上，應該避免強人領導、讓獨立董事發揮功能，並且促進董事會及總稽核之間的信任關係。
- 在企業組織文化上，要消弭吹捧文化、讓各職掌盡其本分。
在這次兆豐銀行受紐約州金融監理署裁罰的案例上，突顯台灣企業對於法令遵循在認知上還有進步空間。對此林宏義以其多年擔任國際性大型公司法遵主管的經驗，深入分享了法令遵循的意義及實務上所面對的挑戰。
他指出，法令遵循主管的設置是1980年代歐美對金融業及醫療業管理的法令日益增多、監理機關裁罰日益變重的因應措施，以統一協調各部門的內控政策與程序。法令遵循對外的意義是，確保公司的營運遵守所有適用的法令與規定；對內的意義是：確保所有作業符合董事會制定或通過的政策、原則、行為規範、核心價值等。
對於董事會看待法令遵循這件事，必須要思考以下八點挑戰：
- 法遵的功能到底是甚麼?
- 公司的法遵獨立性夠嗎?
- 公司的法遵人員夠專業嗎？
- 公司的法遵資源足夠嗎？
- 公司的營運符合所有適用的法規嗎?
- 董事會通過任命的法遵主管適不適任?
- 董事會通過的法遵制度有效嗎?
- 董事會要負法遵的最終責任嗎?
除了兆豐事件以外，他也分享了在過去曾服務過公司中，所看到的法遵教訓。比如美國保德信人壽在1990年代曾不當銷售投資型保單，被監理機關裁罰與賠償保戶，損失約60億美元，董事長暨執行長下台，法令遵循主管換人且監理機關派員進駐公司輔導三年。如今，新的保德信人壽法遵已經脫胎換骨，堪稱法遵模範生，反而法遵人員成為獵人頭公司的首選。
所以他在此解釋：守法是每一個員工的責任，公司的責任是提供員工清楚的政策與程序，並給予適當訓練。而管理職代表公司管理營運；管理職的行為，視為公司行為。
美國匯豐銀行於2012年違反洗錢防制法規，涉及墨西哥毒梟洗錢活動，被美國司法部裁罰19.2億美元，緩起訴5年。事件發生後公司高層改組，大幅擴充法令遵循組織(特別是洗錢防制單位)與交易監測系統的資源。現在，匯豐聲稱採用全球最嚴格的法遵標準，制定?全球標準?，全世界所有單位與人員，一體適用。
英國藥廠葛蘭素史克在2013年受中國調查發現其透過旅行社充當白手套，賄賂政府官員、醫藥行業協會、醫院及醫生，2014年因賄賂官員及醫生，被中國處以有史以來最大罰款30億人民幣。由於葛蘭素史克亦在美國上市，受美國外國貪腐處理法(Foreign Corruption Practice Act)管轄，也被美國司法部裁罰2,000萬美元。
其他像法國巴黎銀行、摩根大通銀行、中國農民銀行、蘇格蘭皇家銀行與德意志銀行，也都是法遵功能不佳受到數十億、甚至數百億美元的驚人裁罰。因此，他提出國際上對法遵的期待有：
- 與經營階層合作，建立公司法遵政策與程序
- 監督所有公司法遵政策與程序的執行
- 評估並協助部門確保其政策與程序符合法規
- 獨立檢查重要且有監理風險的流程
- 獨立向執行長與董事會報告法遵事務
- 督導異常案件之調查與懲戒流程
- 定期至營業單位進行法遵檢查與訓練
- 參與公司所有事務，知悉所有計畫，並且出具 ?不反對?、?無法遵疑慮?意見；或當有疑慮時要求修改再議，或者直接否決計畫。而當執行長與法遵主管意見不同且無法達成協議，則應該由雙方上級協商解決
- No Compliance Surprise！法遵有權且必須知悉公司大小事務，有權參與各種會議，也有權調閱執行業務所需資料
- 海外分支機構之法遵主管直屬總公司，不受執行長約制。其法遵主管考核雖要參考執行長意見，但最終應由總公司與當地人資核定考績與薪酬調整，以維護獨立性
- 按美國外國貪腐處理法，法遵主管要審核執行長與董事長之應酬報告
依據過去的經驗，林宏義也以10個原則來描繪法遵主管應具備的資格與特質：
- 勇氣(Courage)：法遵主管工作是要求別人，並向董事會及監理機關提出報告，這些都需要勇氣，也是最重要的一個條件。
- 企業意識(Corporate Sense)：由於法遵主管責任範圍是跨部門的，所以需要擁有多重知識與經驗，比如業務、行銷、營運等。
- 好奇心(Curiosity)：檢測資料才能監控程序，檢測不能只看表面，應該要具備發現真實的心態。
- 合作精神(Cooperation)：法遵主管應與各主管密切合作，謀求最佳方案，也適當地承受一些合理及明智的風險。
- 一致性(Consistency)：法遵主管不可用不同方式對待不同部門或職位的人。
- 溝通(Communication)：法遵主管責任是推廣法令遵循文化，所以需要優異溝通技巧，才能提出新方案、傳達困難的決決策。
- 保密(Confidentiality)：因為法遵主管經常接觸重要、個人、機密或未公開資訊。
- 創造力(Creativity)：以替代性方案取代拒絕，因此法遵主管需要有辨識、溝通與解決問題的創意。
- 自信(Confidence)：法遵主管必須具備做正確的事的價值與信念，才能讓其他人跟隨。
- 同理心(Compassion)：法遵主管對受查核的單位應該具備同理心，嘗試瞭解他們擔心與憂慮，因為查核結果可能會對他們生涯與人生產生重大影響。
最後，林宏義提出法遵主管可能會面對到挑戰，是實務上值得參考的：
- 員工是一線防衛，法遵是第二道防線
- 法遵是內控單位，不是營運作業部門
- 綜理各部門內控，須學習十八般武藝
- 人際關係易生變，同事碰面避而遠之
- 守法是員工責任，法令遵循是安全繩
- 法遵雖然是成本，被罰損譽代價更高
- 台灣缺法遵人員，培育專才需五六年
以及，法遵主管應該建立以下的基本心態：
- 法令遵循是一條沒有盡頭的漫漫長路
- 外部科技法規犯罪手法不斷推陳出新
- 內部產品服務作業流程持續更新改變
- 法遵是一個演變進化的過程因時而異
- 客戶業務風險都不同法遵制度須訂做
- 董事會頒公司政策執行長訂流程辦法
- 法遵文化必須由上而下若上行則下效
輔仁大學財經法律學系教授郭大維
郭大維則從判決的角度，分析國內外法院認定董事監督義務的看法。
他表示根據金管會的處分書，已經明示在董事長在2015年10月已知悉有可能遭美國主管機關採取監理行動，應負本案決策失當之責任。而依據公司法第23條之1的規範：「公司負責人應忠實執行業務並盡善良管理人之注意義務，如有違反致公司受有損害者，負損害賠償責任。」從而他又提出以下三個問題：
- 董事監督義務(duty to monitor)究竟屬於注意義務或忠實義務之一環?
- 董事監督義務之內涵應如何界定?
- 在何種情形下，始能認定董事怠於監督，而須對公司負損害賠償之責?
- 並且參考美國及台灣幾個重要判決為現場聽眾分析。
首先，在美國聯邦量刑標準(Federal Sentencing Guidelines Manual)的認定是，企業若建置一有效法令遵循機制，來防制並偵測違法情事，可減輕對該企業之處罰。而其具體的標準有以下七點：
- 企業是否已建立一法令遵循標準與程序
- 企業指派高階主管監督內部是否有確實遵循法令遵循標準及程序
- 企業已採取謹慎勤勉之注意，不得對該企業內有違法傾向員工授與過大之裁量權
- 企業已採行合理步驟，將法令遵循之標準及程序有效告知全體員工
- 企業已採取合理步驟，確保所設定之法令遵循標準能夠達成，並定期評估法令遵循機制之有效性以及建立員工通報違法情事之機制
- 企業之法令遵循標準應搭配適當之懲戒機制，包括對應查報違法情況而未查報之員工的懲戒
- 得知違法情事後，企業須採取一切合理步驟防止類似情形再次發生
另外美國沙賓法案(Sarbanes-Oxley Act)規範，公開發行公司的管理階層應建立與維持一套財務報告之內部控制制度，並且必須在公司年度報告中評估此內部控制制度。而沙賓法案也授權美國聯邦證管會(SEC)，要求證券交易所及店頭市場，對於通報員工或他人之財務不法行為並未建立遵循程序之公司，不准該公司的證券掛牌交易。
在美國司法部部分，也要求檢察官在起訴董事前，要考慮以下項目：
- 董事是否獨立審視企業決策而非盲目的核准該決策
- 董事是否在充分獲悉資訊下為決策
- 董事是否確保法令遵循通報系統足以正確並及時提供管理階層決策判斷所需之資訊
接著郭大維以美國的判決來探討法院對於董事監督義務的認定。首先是1963年Graham v. Allis-Chalmers Mfg. Co.案，該案法院的判決認為，董事會監督義務之前提在於企業內部違法活動具有可察覺性。若無使人起疑之事由，董事並無義務建置內部監控系統，以偵察無理由認為其存在的不法行為。這起判決認定了董事受託義務，也包含監督義務。
郭大維進一步分析這起判決的意義有三個面向：
- 法院將監督義務置於注意義務
- 法院將監督義務定義為一消極義務(董事在無理由懷疑的情況下，無義務去設立並運作一個公司內部間諜系統，以查明其等無理由懷疑是否存在的不當行為)。
- 董事會僅負有阻止企業違法行為之義務
換言之，此項見解讓董事會無誘因進行監督，相對的，若董事會努力取得更多資訊，反而會增加潛在的責任。
另外一案是1996年In re Caremark Int’l, Inc. Derivative Litig.案，這起判決認為董事一旦察覺違法活動有明顯跡象，不僅有義務採取適當行動，還有義務獲取充分資訊、並對違法活動保持警戒，亦即，董事的義務在於盡力確保公司具備適當的內部資訊蒐集與報告系統，否則董事會之監督及管理就無法具備合理與及時的資訊基礎。而董事違反監督義務，就是基於董事會持續性、或系統性怠於監督，因此在本質上，該判決認為監督義務為注意義務之一環。
郭大維對此案的見解認為，構成董事監督責任的前提要件是：
- 董事完全未實行任何通報或資訊蒐集系統或控制措施；或
- 董事確已實施如此的系統或控制措施，卻有意地不去監督或監管該等系統或措施的運作，以致於董事未能得知其應注意的風險或資訊。
而他的分析是，若原告主張董事未盡董事監督義務、違反注意義務時，需先證明：
- 董事對員工之違法行為係明知或應知而未知該違法行為
- 董事未盡善意之努力以防止該違法行為
- 董事上述之消極不作為與公司之損害間有相當因果關係
在2006年Stone v. Ritter案的判決又不太一樣，本案視董事監督義務由注意義務轉為忠實義務，認為意圖怠於行使董事監督義務者，係屬善意行為之欠缺，其判斷標準為：
- 董事完全沒有建置任何報告或資訊系統或控制制度。
- 董事雖已建置該等系統或控制制度，卻有意識地怠於監督或控制其運作，致董事無法了解應注意之風險或問題。
另外在2009年AIG v. Greenberg案裡，董事雖知悉有不法行為，但卻未能讓AIG董事會全體成員注意到不法行為，以致未能採取適當措施。因此法院認為，被告身兼公司管理階層及董事，故意讓不適當之內控制度存在，且故意未監督下屬法令遵循情形，故推論被告因其在公司內地位而得以知悉，不可能對不法交易之進行毫無所悉，因此認為其未善盡監督義務，亦屬違反董事忠實義務。
而國內的判決方面，花蓮企銀的法人董事代表因未能有效監督該行內控制度及稽核制度，而發生不當獎金發放行事，使花蓮企銀遭金管會裁罰400萬元罰鍰。原告認為被告法人董事代表及公司代表人應負賠償責任，而郭大維提出此案之爭點在於：負有確保建立並維持有效的內部控制及稽核制度者，究為董事長個人，抑或是合議制之董事會？即應由董事個別究責？還是由董事會集體究責？
關於這個問題，他區分出三個層次：
- 在美國，並非以「董事會」作為履行董事監督義務之主體，而係以「董事個人」行為作為究責對象，使該未盡義務之董事個人負賠償責任。
- 在國內學者的看法上，大多贊成以「董事個人」作為究責對象之認定。其原因是，公司法雖採董事會集體執行業務制，但董事會之決議，終究係出於董事個人義務之履行，故有無過失仍應就個別董事予以認定，不得以董事會之決議推諉之。
- 在國內實務層面，亦有判決支持以「董事個人」作為究責對象。花蓮企銀一案，地院及高院認為確保內控內稽制度之建立及有效維持之責任，應由董事會而非董事個人負擔，但郭大維認為，如此認定可能將銀行內部控制及稽核制度實施辦法之規定，流於僵化之文義解釋。
黃政傑認為，董事忠實義務應該是制定合理的制度及監督落實，而不是將此責任推諉至經理部門，公司內部的權責分工不能做為董事監督義務的排除理由。
他分析在台灣的法律中規範，對於相當關係人，雖然未必是董事，但一樣要負董事之責。除了自然人董事以外，董事以外的人，按公司法第第27條第2項指派代表擔任董事之法人股東，依個案事實基礎是也需要負擔的，比如按民法第28條規定：「法人對於其董事或其他有代表權之人因執行職務所加於他人之損害，與該行為人連帶負賠償之責任。」
若派去其他公司的代表非董事而是經理人或其他受僱者，也是有可能負擔董事責任的，比如民法第188條第1項規定：「受僱人因執行職務，不法侵害他人之權利者，由僱用人與行為人連帶負損害賠償責任。但選任受僱人及監督其職務之執行，已盡相當之注意或縱加以相當之注意而仍不免發生損害者，僱用人不負賠償責任。」這一點在最高法院57年台上字1663號判例也有解釋解釋：「民法第一百八十八條第一項所謂受僱人，並非僅限於僱傭契約所稱之受僱人，凡客觀上被他人使用為之服務勞務而受其監督者均係受僱人。」
另外在公司法第8條，公開發行股票之公司之非董事，而實質上執行董事業務或實質控制公司之人事、財務或業務經營而實質指揮董事執行業務者，與本法董事同負民事、刑事及行政罰之責任。因此在台灣，就算未必是董事，在不同法條之間的適用，也可能負擔起董事責任。
最後黃政傑歸納，董事沒有可完全免責的逃生口，好好盡到董事責任才是最好的出口。他盤點可能的免責規定有以下三條，供聽眾參考：
- 公司法第193條: 董事會執行業務，應依照法令章程及股東會之決議。董事會之決議，違反前項規定，致公司受損害時，參與決議之董事，對於公司負賠償之責；但經表示異議之董事，有紀錄或書面聲明可證者，免其責任。
- 公司法第231條:各項表冊經股東會決議承認後，視為公司已解除董事及監察人之責任。但董事或監察人有不法行為者，不在此限。
- 公司法第218條之1:董事發現公司有受重大損害之虞時，應立即向監察人報告。
黃榮顯認為企業所訂定的法令遵循都很周密、很完整，但重點是制度訂完後是玩真的嗎？對於法令遵循要落實，一定要公司上下所有成員都要瞭解，上行下效就像自來水管一樣，就會通暢遍及。在企業中，有關法規建置，一般的要點或許會到總經理，而辦法需要經董事會通過。他建議現在公司有三席以上獨立董事，最好成立審計委員會。而審計委員會最重要的功能，也就是監理、法令遵循面的要點。
一般董事由於接觸業務程度不如經理階層熟悉，所以要活用內部稽核部門，這方面連同簽證會計師、風控主管，建議要審計委員會通過其任命案，以及，審計委員會後續還要聽取及審查內部稽核的報告，對其報告內容和稽核方法作詢問及挑戰，並要求其對嚴重缺失處提出修正報告。
另外在推行新業務或海外據點，董事會把握的要點就是相關的內稽內控同步與新業務搭配，而不是業務先行。海外據點更重要，一定要遵守當地相關法令規章，當然也要遵守母公司所在地的規範，是需要雙軌並行的。