金融監督管理委員會　裁處書
受文者：如正副本
發文日期：中華民國110年3月4日
發文字號：金管證券罰字第1090379775號
受處分人：國泰綜合證券股份有限公司
營利事業統一編號：略
地址：略
代表人或管理人姓名：莊○○
地址：略
主旨：受處分人違反證券商管理規則第2條第2項規定，爰依證券交易法第66條第1款規定，對受處分人予以警告處分，並依證券交易法第178條之1第1項第4款規定核處新臺幣144萬元罰鍰。
事實：財團法人中華民國證券櫃檯買賣中心（下稱櫃買中心）於109年11月9日、10日對受處分人進行查核，發現受處分人辦理主機共置（Co-location；下稱Co-Lo）服務有僅提供與資訊廠商具高度關聯之特定人使用、將客戶開發之交易軟體放置於共置主機之系統中、未有客戶委託紀錄及未定期更新Co-Lo主機密碼等資訊安全作業缺失，上開缺失顯示受處分人未落實執行內部控制制度，核已違反證券商管理規則第2條第2項規定。
理由及法令依據：
一、按「證券商違反本法或依本法所發布之命令者，除依本法處罰外，主管機關得視情節之輕重，為下列處分，並得命其限期改善︰一、警告。…」、「證券商…有下列情事之一者，處各該事業或公會新臺幣二十四萬元以上四百八十萬元以下罰鍰，並得命其限期改善；屆期未改善者，得按次處罰：…四、證券商…未確實執行內部控制制度。」分別為證券交易法第66條第1款及第178條之1第1項第4款所明定；「證券商業務之經營，應依法令、章程及前項內部控制制度為之。」為證券商管理規則第2條第2項所明定。
二、櫃買中心於109年11月9日、10日對受處分人進行查核，發現受處分人有下列缺失情事：
(一)受處分人辦理Co-Lo服務，僅提供少數2名客戶使用Co-Lo服務，且該2名客戶與將軟體讓與受處分人之資訊廠商（○○管理有限公司台灣分公司）具高度關聯性。受處分人將客戶自行開發之交易軟體放置於Co-Lo之系統主機上，交易指令係由交易軟體依客戶設定之參數自動運算產出後傳送至臺灣證券交易所股份有限公司（下稱證交所）主機，未有客戶委託紀錄，核有為特定客戶量身訂做且不當提供Co-Lo服務之情事。前揭缺失違反證券商內部控制制度標準規範（下稱內控標準規範）CA-11210受託買賣及成交作業（一）23、「公司經營經紀業務且與證交所簽訂主機共置服務契約者，應依『主機共置服務管理辦法』規定辦理，使用該服務前，應自訂使用規則並於公司內部控制制度制定適當之控管機制及查核程序」、行為時之證交所及櫃買中心主機共置（Co–Location）服務管理辦法第11條第2項「證券商經紀業務使用本服務前，應訂定使用規則且納入內部控制制度，並依使用規則公平對待投資人…」、內控標準規範CA-11210受託買賣及成交作業（十八）「對客戶經由網際網路等電子式交易型態所為之交易委託及查詢，其電腦稽核紀錄（log）應至少保留五年…」及（二十二）「對於以…專線…委託者，…惟應依時序別列印買賣委託紀錄，…委託紀錄應含客戶委託人姓名或帳號、委託時間…等」規定。
(二)其他資訊安全作業缺失：
１、受處分人Co-Lo之主機系統密碼超過3個月未變更，違反內控標準規範CC－18000存取控制（三）5、「公司其他使用者之密碼應至少每三個月變更一次」之規定。
２、受處分人於109年1月更換交易主機後，僅保存3月28日後之稽核日誌（log）紀錄，系統稽核日誌（log）紀錄內容未依規定保留3年，違反內控標準規範CC－18000存取控制（四）3、「相關留存紀錄應確保數位證據之收集、保護與適當管理程序，至少留存三年」之規定。
３、Co-Lo主機之防火牆進出紀錄未依規定保留3年，違反內控標準規範CC－17010網路安全管理（二）3、「防火牆進出紀錄及其備份應至少保存三年」之規定。
４、針對Co-Lo之主機系統每年僅執行一次弱點掃描，違反內控標準規範CC－19000系統開發及維護（十四）1、「各資訊系統應定期（至少每半年一次）進行弱點掃瞄」之規定。
三、上開缺失顯示受處分人未落實執行內部控制制度，核已違反證券商管理規則第2條第2項規定，爰依證券交易法第66條第1款及第178條之1第1項第4款規定處分如主旨。並請受處分人確實依照櫃買中心意見改善相關作業程序，納入內部控制制度確實執行，及請內部稽核加強稽核。
繳款方式：
一、繳款期限：自本處分送達之次日起10日內繳納。
二、請依（機關）檢附之繳款單注意事項辦理繳納。
三、本案聯絡人：陳小姐，聯絡電話：(02)27747392，傳真電話：(02)87734134。
注意事項：
一、受處分人如不服本處分，應於本處分送達之次日起30日內，依訴願法第58條第1項規定，繕具訴願書經由本會（新北市板橋區縣民大道二段7號18樓）向行政院提起訴願。惟依訴願法第93條第1項規定，除法律另有規定外，訴願之提起並不停止本處分之執行，受處分人仍應繳納罰鍰。
二、受處分人如逾本處分所定繳款期限不繳納罰鍰者，即依行政執行法第4條第1項但書規定，移送法務部行政執行署各分署辦理行政執行。
正本：國泰綜合證券股份有限公司（應受送達人：代表人莊○○先生）
副本：臺灣證券交易所股份有限公司（代表人許璋瑤先生）、財團法人中華民國證券櫃檯買賣中心（代表人陳永誠先生）、中華民國證券商業同業公會（代表人賀鳴珩先生）、金融監督管理委員會證券期貨局（主計室）、金融監督管理委員會證券期貨局（秘書室）、金融監督管理委員會證券期貨局（證券商管理組）