金融監督管理委員會　裁處書

受文者：如正副本
發文日期：中華民國115年7月21日
發文字號：金管證券罰字第1150383460號
受處分人：台新綜合證券股份有限公司
營利事業統一編號：略
地址：略 
代表人或管理人姓名：陳○○
地址：略
主旨：受處分人於合併前未妥適進行資訊系統規劃與測試，致合併後多次發生重大資安事件，核未落實執行內部控制制度，違反證券商管理規則第2條第2項規定，爰依證券交易法第178條之1第1項第4款規定核處新臺幣360萬元罰鍰，暨依同法第66條第1款規定予以警告，併依同條第5款規定命令受處分人於本案資安相關缺失完成改善前，自有資本適足比率之作業風險約當金額應增加計提1倍、命令受處分人自本裁處書送達翌日起三個月內提出具體短、中、長期系統改善方案，並就改善措施及執行情形提報受處分人及其金融控股母公司之董事會至改善為止、命令受處分人委由具公信力之資安專業第三方機構進行驗證、以及命令受處分人自行議處本案相關違失人員於3個月內報會。
事實：臺灣證券交易所股份有限公司（下稱證交所）對受處分人於與元富證券股份有限公司於115年4月6日合併後於首日營業日（115年4月7日）、115年4月14日、115年4月20日及115年5月21日發生資安事件進行查核，發現受處分人有未落實資安事件通報、系統中斷超過可容忍中斷1小時、程式未檢核資料之正確性、程式上線前測試情境未完善、程式上線後未驗證系統變更之正確性、系統未進行壓力測試、程式上線版本錯誤、營運持續計畫未臻完善、未辦理營運持續之演練、重要軟硬體設備監控不足等缺失事項，顯示受處分人未落實執行內部控制制度，核已違反證券商管理規則第2條第2項規定。
理由及法令依據：
一、按「證券商違反本法或依本法所發布之命令者，除依本法處罰外，主管機關得視情節之輕重，為下列處分，並得命其限期改善︰一、警告。…五、其他必要之處置。」、「證券商…有下列情事之一者，處各該事業或公會新臺幣30萬元以上600萬元以下罰鍰，並得命其限期改善；屆期未改善者，得按次處罰：…四、證券商…未確實執行內部控制制度。」分別為證券交易法第66條第1款、第5款及第178條之1第1項第4款所明定；「證券商業務之經營，應依法令、章程及前項內部控制制度為之。」為證券商管理規則第2條第2項所明定。
二、證交所對受處分人進行查核，發現受處分人有下列缺失情事：
(一)115年4月7日9時5分電子交易系統登入及查詢庫存服務異常，未於知悉30分鐘內辦理資安事件通報，核有違反證券期貨市場資通安全事件通報應變作業注意事項第肆條第一點。
(二)115年4月7日9時5分~11時48分及同年月14日9時4分~12時14分核心系統中斷超過所訂核心系統可容忍中斷1小時，核有違反受處分人依證券商內部控制制度標準規範所訂之內部控制制度（下稱內控制度）CC-20000營運持續管理（十五）之規定。
(三)相關申報及人工錯帳號回補等程式上線前未進行測試、上線後未檢核資料輸入之正確性及因合併進行系統變更後未驗證其正確性，導致系統處理發生異常，產生錯誤執行結果，造成115年4月7日至同年月19日間對證交所延遲申報相關結算資料情形，核有違反內控制度CC-19000系統開發及維護（六）5、（十四）7及（十六）2之規定。
(四)證券後台系統於合併上線前，未考量合併後營運情境妥適辦理系統壓力測試，致系統未能負荷合併後之使用量，造成系統異常，影響投資人權益，核有違反內控制度CC-17020電腦系統及作業安全管理 （六）之規定。
(五)115年4月7日於收盤後進行信用交易餘額明細表申報作業時，程式未落實版本控制，更新時誤置為錯誤版本，導致資料產出格式錯誤，造成對證交所延遲申報資料情形，核有違反內控制度CC-19000系統開發及維護（十四）4之規定。
(六)所訂之營運持續計畫未臻完善，未考量成委回報異常、錯帳處理及針對本次合併可能對營運持續之影響，以致相關異常事件發生時，無有效應對措施，致影響投資人權益，核有違反內控制度CC-20000營運持續管理（八）之規定。
(七)合併前未辦理營運持續之演練，導致相關作業應變不足，影響營運持續之情事，核有違反內控制度CC-20000營運持續管理（八）之規定。
(八)行動下單應用程式因自身監控程式影響，記憶體資源滿載，造成115年4月20日12時至收盤期間，影響部分客戶登入下單與查詢，核有違反內控制度CC-17010網路安全管理（一）4之規定。
(九)帳務中台程式更版上線前測試未完善，致115年5月21日上午9時28分起發生電子交易平台委託回報異常情形，核有違反內控制度CC-19000系統開發及維護（六）5之規定。
三、上開缺失顯示受處分人未落實執行內部控制制度，核已違反證券商管理規則第2條第2項規定，爰依證券交易法第178條之1第1項第4款規定核處新臺幣360萬元罰鍰，暨依同法第66條第1款規定予以警告，併依同條第5款規定為其他必要處置如下：
(一)為加強受處分人作業風險承擔能力，命令受處分人自有資本適足比率之作業風險約當金額應增加計提1倍，並應於裁處書到之次月10日前完成作業風險資本計提之增加及計算資本適足比率與其影響數報會，於本案相關資安缺失完成改善並報經副本收文者證交所審查同意後，得自次月起恢復原作業風險計提比率。
(二)命令受處分人全面檢討該公司系統缺失及自本裁處書送達翌日起三個月內提出具體短、中、長期系統改善方案，必要時洽請資通安全顧問，並就改善措施及執行情形提報受處分人及其金融控股母公司之董事會，至改善為止。
(三)為確保交易安全與系統穩定，命令受處分人委由具公信力之資安專業第三方機構進行驗證，並將驗證意見函報副本收文者證交所轉陳本會。
(四)命令受處分人自行議處本案相關違失人員於自本裁處書送達翌日起3個月內報會。
繳款方式：
一、繳款期限：自本處分送達之次日起10日內繳納。
二、請依（機關）檢附之繳款單注意事項辦理繳納。
注意事項：
一、受處分人如不服本處分，應於本處分送達之次日起30日內，依訴願法第58條第1項規定，繕具訴願書經由本會（新北市板橋區縣民大道二段7號18樓）向行政院提起訴願。惟依訴願法第93條第1項規定，除法律另有規定外，訴願之提起並不停止本處分之執行，受處分人仍應繳納罰鍰。
二、受處分人如逾本處分所定繳款期限不繳納罰鍰者，即依行政執行法第4條第1項但書規定，移送法務部行政執行署各分署辦理行政執行。
正本：台新綜合證券股份有限公司(應受送達人：代表人陳○○先生)
副本：臺灣證券交易所股份有限公司（代表人林○○先生）、財團法人中華民國證券櫃檯買賣中心（代表人簡○○先生）、中華民國證券商業同業公會（代表人陳○○先生）、本會證券期貨局主計室、證券期貨局秘書室、證券期貨局證券商管理組