金管會對台新國際商業銀行催收信函寄送地址異常及信用卡帳單資料錯置所涉缺失之行政處分

       金融監督管理委員會(下稱金管會)通過對台新國際商業銀行(下稱台新銀行)違反法令之裁罰處分案。該行催收信函寄送地址異常及信用卡帳單資料錯置所涉相關缺失，顯示該行未完善建立資訊系統異動之測試及檢覈機制，暨催收信函檔案寄送及退郵後之控管機制，對內未確實執行測試及驗收之作業規範，對外亦未有效督導受委託機構建立完善之內部控制制度，核有未完善建立及未確實執行內部控制及作業制度之情事，違反銀行法第45條之1第1項、第3項及其分別授權訂定之「金融控股公司及銀行業內部控制及稽核制度實施辦法」(下稱內控內稽辦法)第3條第1項、第8條第1項及「金融機構作業委託他人處理內部作業制度及程序辦法」(下稱委外辦法)第6條第1項規定，爰金管會依銀行法第129條第7款規定，核處新臺幣(下同)600萬元罰鍰。
一、受裁罰之對象：台新銀行
二、裁罰之法令依據：銀行法第129條第7款
三、違反事實理由：
(一)    台新銀行於109年5月1日及113年5月9日調整信用卡系統地址欄位時未同步調整催收系統，及111年8月調整行動銀行地址變更功能時寫入臺幣核心系統之規則設計錯誤，分別導致催收系統產出之簽帳金融卡、信用卡及消金產品催收信函地址異常，可能誤寄而產生個資外洩，受影響客戶數共1,089人。另該行委託〇〇資訊股份有限公司(下稱委外廠商)辦理信用卡帳單列印及封裝，因委外廠商印表機於113年11月22日凌晨時發生感測器(sensor)與對位代碼(code)間讀取異常，導致列印帳單正面姓名與背面交易明細/繳款聯分屬不同客戶，受影響客戶數共358人。
(二)    案關缺失顯示該行有下列未完善建立及未確實執行內部控制及作業制度之情事：
１、未完善建立內部控制制度：
(１)未完善建立資訊系統異動之測試及檢覈機制：該行針對與客戶個資相關之系統參數調整及程式變更，未訂定完整之測試、開發單位與使用單位驗證、週邊及上下游系統之影響分析等業務控制程序，故該行111年8月調整行動銀行通訊資料變更功能，及113年5月調整信用卡系統地址欄位長度時，未能發現跨系統間資料傳遞異常。
(２)未完善建立催收信函檔案寄送及退郵後之控管機制：該行原僅針對委外催收信函建立交寄前之抽驗機制，針對自行催收之信函檔案僅核對與傳輸到廠商之總件數，113年7月後始將抽驗範圍納入全部催收信函；另遭退郵案件(除退郵理由為遷移不明者外)僅於系統登錄後銷毀，未完善建立追蹤控管措施以檢視是否有地址異常問題，故自109年5月至113年8月間，均未發現系統產出地址異常。
２、未確實執行內部控制及作業制度：
(１)對內未確實執行測試及驗收之作業規範：該行內部規範已規定系統上線前測試作業應核對資料輸出結果之正確性，惟該行於109年5月信用卡系統上線前執行整合測試時，資訊單位未確實檢視輸出結果，致未能發現地址輸出異常情事。
(２)對外未有效督導受委託機構建立完善之內部控制制度：該行內部規範已規定專責單位督導受委託機構建立內部控制及稽核制度，惟本案中受委託機構未確實依作業程序查證列印資料正確性，且其作業程序缺乏寄發前之有效錯誤核驗機制，致使列印錯誤之帳單仍被寄出，顯見該行未有效督導受委託機構建立完善之內部控制制度。
四、裁罰結果：違反銀行法第45條之1第1項、第3項及其分別授權訂定之內控內稽辦法第3條第1項、第8條第1項及委外辦法第6條第1項規定，爰依銀行法第129條第7款規定，核處600萬元罰鍰。
五、其他監理要求事項：
(一) 請該行全面檢視資訊系統進行調整/變更時跨系統間資訊傳輸之正確性，並建立事前、事中、事後檢核機制，且本案相關改善措施應經外部獨立第三人查核並提報董事會報告。另由稽核單位列管追蹤及納入內部查核重點。
(二)  請該行應加強資訊系統建置及資訊人員執行相關業務規範之督導，並充實稽核人員資訊系統稽核能力。
(三)  請該行強化對委外廠商之管理機制，將改善措施提報董事會，並評估依委外契約向委外廠商求償。

聯絡單位：銀行局金融控股公司組　
聯絡電話：(02)8968-9836
如有任何疑問，請來信：本會民意信箱