經歷金融海嘯，金融保險業更加意識到風險管理的重要性，而中國人壽更將嚴謹的風險管理設定為持續關注的經營目標。本公司風險管理架構係由最高階的風險管理政策，由上而下鋪展出各項主要風險的管理辦法、實務面的施行細則與處理程序，透過內部規範與完整文件化管理，具體落實風險管理機制。

因應新冠肺炎，中國人壽於2020年1月底成立防疫小組，以統籌、督導、協調疫情期間業務持續運作及相關應變作業。本公司除落實職場消毒、員工健康管理與通報機制、異地辦公及及居家辦公等防疫對策，亦模擬雙北地區、台中地區在封城情境下各項業務持續維運之應變處理計畫，包含投資交易、保戶服務、保單作業、業務招攬、內務行政、內部控制、法令遵循及風險管理等相關作業，作為未來員工居家辦公時，執行業務應變措施之依據，確保保戶服務及營運不中斷之應變備援能力，以期減緩營運中斷之影響衝擊。

政策與管理措施

風險管理組織

風險管理委員會為隸屬於董事會之功能性委員會，其功能與職責涵蓋董事會、風險管理委員會、風控長、風險管理部、稽核部及所有業務執行單位，建構了一個由上而下宣導風險管理文化與理念，及由下而上傳遞風險管理資訊的全面性網絡，進而使公司整體得以體現風險管理的實質成效。

本公司設有獨立專責的風險管理部，為公司整體風險管理功能的核心，並將其風險管理的需求及成效延伸落實至公司各業務執行單位，確保符合風險管理規範。風險管理部致力於風險衡量模型之開發、風險監控系統之規劃與執行，並提供風險資訊以利管理階層進行風險回應相關之決策，比如風險規避、移轉或避險、風險控制、承擔與資本需求等。另一方面，風險管理部與所有風險承擔部門（業務執行單位）進行密切的互動溝通，協助與合作執行其風險辨識或控制規劃作業等，使其能夠履行第一線風險管理職責，達到事前預防與預警之功效。

風險管理政策

中國人壽訂定並定期審視風險管理政策，作為全公司所有風險管理機制的最高指導準則。於風險管理政策中，本公司明確揭示整體風險管理的目標與策略、組織與職責、資本適足性的評估、風險胃納與限額的訂定，所辨識的主要風險類別與其管理流程等，除了符合企業風險管理(Enterprise Risk Management, ERM)的世界趨勢以外，亦成為實務執行與建置規範機制的基礎。

主要風險辨識及回應

資訊安全與個資保護

中國人壽成立資訊安全部作為公司專責資訊安全單位，負責擴展資訊安全管理制度施行範圍，建立各部門資訊安全控制作業及自行查核管理架構，並監督、評量資訊安全內部控制之有效性。2016年通過ISO27001資訊安全管理系統驗證，2019年建置並強化資訊安全內控制度管理架構，2020年完成第一、三類電腦系統資訊安全評估之檢測作業，持續通過ISO27001資訊安全年度外部獨立第三方審查驗證。

中國人壽已制定資訊安全政策，政策適用於所有服務線。除此之外，中國人壽亦成立資訊安全委員會，每年召開二次資訊安全委員會，針對資訊安全管理制度執行狀況進行審核及檢討過往資訊安全委員會議案的處理狀態、資訊安全內外部議題、資訊安全管理制度變更，並每年定期檢視資訊安全政策及相關規範、2020年各項工作執行情形，並規劃2021年各項工作計畫。另外，本公司亦委託外部專家協助針對「保險業內部控制及稽核制度實施辦法」檢視本公司相關控管作業之執行情形。

資訊安全管理制度

中國人壽資訊安全管理制度之運作為依照ISO27001標準，採用「Plan-Do-Check-Act」(PDCA)之循環運作模式，建立資訊安全管理制度，並維繫其有效運作與持續改進。

投保資安險

投保資訊安全保險，藉由保險降低法律、財務承擔責任及受影響客戶的索賠，轉嫁可能之損失風險與減低對商譽的影響。

電腦系統資安評估作業

為確保本公司所提供資訊服務系統具備系統安全防護能力，透過各項資訊安全檢測作業，發現資訊安全的威脅與弱點，藉由相關的技術面與管理面控制措施，以改善並提升資訊安全防護能力。

本公司依照「電腦系統資訊安全評估作業計畫」2020年的資訊安全評估作業，辦理第一、三類電腦系統資訊安全評估作業之各項資訊安全檢測作業，並提交「電腦系統資訊安全評估報告」，定期追蹤發現事項的矯正及預防措施的情形。

具體績效為強化本公司在網路架構與整體資訊作業系統之安全強度，降低本公司內部資訊遭受不當揭露、竄改或竊取之風險。為確保本公司所提供資訊服務系統具備系統安全防護能力，透過各項資訊安全檢測作業，發現資訊安全的威脅與弱點，藉由相關的技術面與管理面控制措施，以改善並提升資訊安全防護能力。

資訊安全整體執行情形聲明書

為符合「保險業內部控制及稽核制度實施辦法」之規範要求，並強調本公司經營高層對資訊安全之重視，本公司以進行資訊安全整體執行情形評估服務，並出具評估報告以利本公司經營高層瞭解目前其合規性與出具資訊安全整體執行情形聲明書。

資訊安全演練與教育訓練

為因應外部多變的攻擊手法並降低本公司遭遇突發緊急危難或異常事故所可能造成資訊作業中斷之衝擊，中國人壽已部署相關資訊安全防禦機制，並委請外部專家協同進行滲透測試以檢視防禦之有效性及事件應變能力。年度例行採用演練的方式來驗證所規劃相關應變策略與處理計畫的有效性，以確保資訊作業持續運作。

另外，本公司同仁依規範要求接受資訊安全教育訓練與宣導，以加強資訊安全認知。一般同仁透過3小時的資訊安全線上教育訓練，且需通過資安認知及觀念測試才能結訓；資安專責單位同仁則透過自辦教育訓練課程、國內受訓課程、研討會及國外受訓課程等方式，每年完成至少15個小時的教育訓練時數。2020年全公司參與測驗及通過比率為100%。

參與資訊安全聯防

為因應資訊安全情勢之日益嚴峻與情資來源的多元化，本公司參與聯防並利用各公司之資源加強情資分析之深度及廣度及時提供更為精確完整的早期預警與防護建議。另外重大資安事件往非僅影響單一機構，加入聯防機制可強化體系風險控管，建立跨機構或跨領域之橫向通報應變與支援協處之運作機制與能力，以降低重大事件之體系災損。現行本公司已加入F-ISAC資安情資關聯分析平台，並建立與金控及各子公司間之金融資安事件監控應變機制。

資安事件回報及處理機制

依中國人壽資訊事故管理辦法辦理通報作業，若公司人員、與公司有業務往來之廠商及其員工、臨時雇員，於發生資訊事故、發現資訊系統或資訊服務之安全弱點、違反資訊安全政策或相關規範、面臨外部之威脅時，應隨時保持警戒，並依程序進行通報，並應於牽涉個資事故時依循內部「個資事故應變、通報及預防管理辦法」進行處理。資訊事故處理結束後，相關系統或業務負責單位主管應根據相關紀錄，採取必要之改善措施並留存相關紀錄，以避免類似資訊事故重複發生。2020年中國人壽並未發生資安重大事件。

個人資料保護組織架構

中國人壽作業流程的各個環節，皆以謹慎的態度處理、保護客戶個人資料。為強化個資安全維護機制運作效率，並整合運用個人資料管理制度所需資源，中國人壽成立個人資料保護管理委員會，由總經理擔任召集人，以持續推動、管理、督導本公司個人資料管理制度之有效運作；個人資料保護管理委員會定期每半年召開會議，會議中從個資保護之執行、技術發展、管理制度監督與審查、個資事故管理等議題，向各委員報告本公司個資保護整體運作情形。

個人資料保護管理制度

中國人壽已於2017年依BS10012:2017個人資訊管理系統標準，導入個人資料管理制度(Personal Information Management System, PIMS)並每年通過第三方驗證公司驗證，依據個人資料保護最佳管理實務，並藉由PDCA管理模式，將個資保護管理意識逐步融入同仁日常作業中，成為公司組織文化。為更進一步提升個人資料暨資訊安全保護管理能力並接軌國際對個資保護管理趨勢，本公司於2020年將驗證範圍擴大至總公司及分公司所有單位，完成歐盟個人資料保護規則(General DataProtection Regulation, GDPR)之適用性評估機制之建置。2020年無發生故意侵犯顧客隱私權或遺失顧客資料相關之個資事故。另外，為因應驗證範圍擴大至全公司所有單位，舉辦16場個資保護相關教育訓練，主題多元且涵蓋規範與實務；另聘請外部顧問協助，舉辦78場次，時數合計163小時的模擬受查演練，投入大量人力資源，並於2020年總公司及分公司全體通過BS10012驗證。

個人資料保護教育訓練

為持續使同仁瞭解個人資料保護責任及強化其個人資料管理制度維運能力，本公司積極辦理個資保護內外部規範宣導及實務作業之教育訓練。2020年持續舉辦全體同仁「個人資料保護認知」教育訓練，參與及測驗通過率達100%；另依據各部門日常維運個人資料保護管理之需求，舉辦8場實體及8場數位課程，以提高、強化與維持各項業務負責同仁對個人資料保護管理的能力。

本公司積極舉辦個資保護相關之教育訓練，2020年再培訓12位同仁取得BS10012：2017主導稽核員資格，累計共34位同仁取得本項資格。另為強化與外部專家的互動，中國人壽已連續四年邀請外部專家至本公司分享個資保護相關議題，2020年分享議題為「企業面臨疫情下的資訊安全與個人資料保護因應措施」，以強化在日益加劇的疫情下個資的保護措施。

個資保護體系代表互動大會

本公司個人資料保護管理制度(PIMS)藉由每半年召開一次個人資料保護管理委員會議，且每年召開一次全公司個資保護體系代表溝通會議，透過會議瞭解利害關係人對於PIMS的期望及建議。2020年藉由各體系之回饋與意見交流，增加新進同仁個資保護認知教育訓練，強化個資保護相關教育訓練教材內容，更有利於提升實務作業成效。