金融監督管理委員會　裁處書
受文者：如正副本
發文日期：中華民國114年5月8日
發文字號：金管銀控字第11402712992號
受處分人：台新國際商業銀行股份有限公司
營利事業統一編號：86519539
地址：臺北市中山區中山北路2段44號1樓及地下1樓
代表人或管理人姓名：吳OO
地址：同上
主旨：貴行催收信函寄送地址異常及信用卡帳單資料錯置所涉缺失一案，核有違反銀行法第45條之1第1項及第3項規定，依銀行法第129條第7款規定，核處新臺幣(以下同)600萬元罰鍰。
事實：貴行於109年5月1日及113年5月9日調整信用卡系統地址欄位時，未同步調整催收系統之讀取功能，另貴行111年8月調整行動銀行地址變更功能時寫入臺幣核心系統之規則設計錯誤，分別導致催收系統產出之簽帳金融卡、信用卡及消金產品催收信函地址異常，可能誤寄而產生個資外洩，受影響客戶數共1,089人。另貴行委託OO資訊股份有限公司(下稱委外廠商)辦理信用卡帳單列印及封裝，因委外廠商印表機於113年11月22日凌晨時發生感測器(sensor)與對位代碼(code)間讀取異常，導致列印帳單正面姓名與背面交易明細/繳款聯分屬不同客戶，受影響客戶數共358人。
理由及法令依據：
一、經核貴行有下列未完善建立及未確實執行內部控制及作業制度之情事，違反銀行法第45條之1第1項、第3項及其分別授權訂定之「金融控股公司及銀行業內部控制及稽核制度實施辦法」(下稱內控內稽辦法)第3條第1項、第8條第1項及「金融機構作業委託他人處理內部作業制度及程序辦法」(下稱委外辦法)第6條第1項規定：
(一)未完善建立內部控制制度：
１、未完善建立資訊系統異動之測試及檢覈機制：貴行針對與客戶個資相關之系統參數調整及程式變更，未訂定完整之測試、開發單位與使用單位驗證、週邊及上下游系統之影響分析等業務控制程序，故貴行111年8月調整行動銀行通訊資料變更功能，及113年5月調整信用卡系統地址欄位長度時，未能發現跨系統間資料傳遞異常。
２、未完善建立催收信函檔案寄送及退郵後之控管機制：貴行原僅針對委外催收信函建立交寄前之抽驗機制，針對自行催收之信函檔案僅核對與傳輸到廠商之總件數，113年7月後始將抽驗範圍納入全部催收信函；另遭退郵案件(除退郵理由為遷移不明者外)僅於系統登錄後銷毀，未完善建立追蹤控管措施以檢視是否有地址異常問題，故自109年5月至113年8月間(歷時4年3個月)，均未發現系統產出地址異常。
(二)未確實執行內部控制及作業制度：
１、對內未確實執行測試及驗收之作業規範：貴行內部規範已規定系統上線前測試作業應核對資料輸出結果之正確性，惟貴行於109年5月信用卡系統上線前執行整合測試時，資訊單位未落實檢視輸出結果，致未能發現地址輸出異常情事。
２、對外未有效督導受委託機構建立完善之內部控制制度：貴行內部規範已規定專責單位督導受委託機構建立內部控制及稽核制度，惟本案中受委託機構OO資訊股份有限公司未確實依作業程序查證列印資料正確性，且其作業程序缺乏寄發前之有效錯誤核驗機制，致使列印錯誤之帳單仍被寄出，顯見貴行未有效督導受委託機構建立完善之內部控制制度。
二、上開缺失顯示貴行有未完善建立及未確實執行內部控制制度之情事，核有違反銀行法第45條之1第1項、第3項及其分別授權訂定之內控內稽辦法第3條第1項、第8條第1項及委外辦法第6條第1項規定，依銀行法第129條第7款規定，核處600萬元罰鍰。
繳款方式：
一、繳款期限：自本處分送達之次日起10日內繳納。
二、請依本會銀行局檢附之繳款單注意事項辦理繳納。
注意事項：
一、受處分人如不服本處分，應於本處分送達之次日起30日內，依訴願法第58條第1項規定，繕具訴願書經由本會（新北市板橋區縣民大道二段7號18樓）向行政院提起訴願。惟依訴願法第93條第1項規定，除法律另有規定外，訴願之提起並不停止本處分之執行，受處分人仍應繳納罰鍰。
二、受處分人如逾本處分所定繳款期限不繳納罰鍰者，即依行政執行法第4條第1項但書規定，移送法務部行政執行署各分署辦理行政執行。
正本：台新國際商業銀行股份有限公司（代表人吳OO先生）
副本：台新金融控股股份有限公司（代表人吳OO先生）、中央銀行、中央存款保險股份有限公司(代表人黃OO先生)、本會檢查局、銀行局