最 高 行 政 法 院 判 決114年度上字第228號上 訴 人 宏泰人壽保險股份有限公司即原審原告代 表 人 李啓賢訴訟代理人 陳姵君 律師上 訴 人 金融監督管理委員會即原審被告代 表 人 彭金隆訴訟代理人 談虎 律師
楊智全 律師上列當事人間保險法事件，兩造對於中華民國114年2月6日臺北高等行政法院113年度訴更一字第10號判決不利於其部分，各自提起上訴，本院判決如下：
主 文
一、原判決主文第一項及該訴訟費用部分均廢棄。
二、上開廢棄部分，上訴人宏泰人壽保險股份有限公司在第一審之訴駁回。
三、上訴人宏泰人壽保險股份有限公司之上訴駁回。
四、廢棄改判部分第一審及上訴審訴訟費用暨駁回上訴部分上訴審訴訟費用，均由上訴人宏泰人壽保險股份有限公司負擔。
理 由
一、事實概要：上訴人即原審被告金融監督管理委員會（下稱金管會）於民國106年10月11日至25日期間，對上訴人即原審原告宏泰人壽保險股份有限公司（下稱宏泰人壽公司）106年度之業務及交易辦理一般業務檢查（檢查基準日：106年8月31日，下稱系爭檢查），並作成檢查報告（編號：106F125，下稱系爭檢查報告）。檢查結果認上訴人宏泰人壽公司有違規情事（違規事實、依據及裁罰內容，均詳如原判決附表所示），依行為時即107年6月6日修正前保險法（下稱保險法）第171條之1第4項等規定，以107年12月27日金管保壽字第10704549652號裁處書（下稱原處分）處以罰鍰及糾正。上訴人宏泰人壽公司對原處分部分裁處內容不服，循經訴願程序遭駁回後提起行政訴訟，聲明：訴願決定及原處分關於事實第2項至第4項、第9項、第16項至第20項（按：即如原判決附表所示各該項次）之裁處罰鍰合計新臺幣（下同）600萬元部分均撤銷。經臺北高等行政法院以108年度訴字第1696號判決（下稱原審前審判決）駁回其訴後，上訴人宏泰人壽公司不服，提起上訴，經本院111年度上字第505號判決（下稱發回判決）將原審前審判決關於駁回上訴人宏泰人壽公司請求撤銷原處分事實第16項至第18項各處罰鍰60萬元及該訴願決定部分廢棄，發回原審更為審理。嗣原審以113年度訴更一字第10號判決（下稱原判決）將訴願決定及原處分關於事實第16項罰鍰60萬元部分撤銷；上訴人宏泰人壽公司其餘之訴駁回（關於原審前審判決維持訴願決定及原處分關於事實第2項至第4項、第9項、第19項及第20項部分，業因本院發回判決駁回上訴人宏泰人壽公司之上訴而告確定，不在審理範圍內）。兩造各就原判決對其不利部分，分別提起上訴。
二、上訴人宏泰人壽公司起訴主張、上訴人金管會在原審之答辯及原判決理由，均引用原判決之記載。
三、本院按：㈠廢棄改判部分（事實第16項部分）：
⒈保險法第148條之3第1項規定：「保險業應建立內部控制及
稽核制度；其辦法，由主管機關定之。」第171條之1第4項規定：「保險業違反第一百四十八條之三第一項規定，未建立或未執行內部控制或稽核制度，處新臺幣六十萬元以上六百萬元以下罰鍰。」稽諸各該規定之立法意旨，乃因保險業收取大眾資金經營運用，其內部控制及內部稽核制度為健全保險業務經營及安全其財務之重要事項，自應建立完整之內部控制及內部稽核制度，以妥善控管營運風險。爰立法明文課以保險業建立並執行內部控制及內部稽核制度之行政法上義務，並就保險業違反上開義務而未建立或未執行內部控制或內部稽核制度者，明定其行政罰責。⒉又按健全的內部控制制度乃公司治理實踐及企業永續經營
之基石，而法令遵循制度則為內部控制制度的一環，以確保企業依據法規訂定、修正內部規章，並且確定整體企業遵守外部法規與內部規章，以落實公司治理的有效性。由於金融、保險業務及其商品具有高度之專業性及複雜性，經常涉及繁雜之法律適用問題，且法令增修頻繁，為避免發生違法風險，自應適時對於法令之更新加以確認，以確保市場之公平、秩序及投資人或投保大眾之權益。是依保險法第148條之3第1項授權訂定之保險業內部控制及稽核制度實施辦法（下稱內控稽核實施辦法）第32條第3項第2款：「法令遵循單位應辦理下列事項：……。二、確認各項作業及管理規章均配合相關法規適時更新，使各項營運活動符合法令規章規定。」之規定（此款規定自104年5月12日修正後，迄今未經修正），即在於督促保險業者應隨時配合法令增修而更新相關作業及管理規章，不得有不必要之延遲，俾能與時俱進，切實地遵照法令進行各項活動，以避免或減低法令違反所帶來的風險。故保險業完全未建立法令遵循制度，或雖已建立然未能配合相關法規適時更新各項作業及管理規章者，因均無法確保各項營運活動均能符合法令規章規定，以落實公司治理之有效性，自應同樣評價為「未建立內部控制」，主管機關即上訴人金管會自得以保險業違反內控稽核實施辦法第32條第3項第2款規定，而依保險法第171條之1第4項規定，予以裁罰。
⒊經查，中華民國人壽保險商業同業公會（下稱壽險公會）
為防制洗錢，前修正其自律規範即「人壽保險業防制洗錢及打擊資助恐怖主義注意事項範本」（下稱注意事項範本），並報經上訴人金管會於105年12月15日准予備查。嗣上訴人金管會於106年2月2日修正發布「保險業防制洗錢及打擊資恐注意事項」(原名稱為「保險業防制洗錢及打擊資助恐怖主義注意事項」，下稱注意事項。此次修正，除第8、9、14點條文自000年0月0日生效外，其餘自000年0月0日生效)。上訴人宏泰人壽公司於106年2月22日將該公司於同年月21日修正之「防制洗錢及打擊資助恐怖主義注意事項」（下稱內部注意事項）函報上訴人金管會時，仍未將法規名稱、確認客戶身分措施、客戶持續審查、交易紀錄保存等內部制度納入修正，上訴人金管會遂於106年4月10日函請上訴人宏泰人壽公司就上開事項予以補正。嗣上訴人金管會於106年6月28日訂定發布金融機構防制洗錢辦法（下稱防洗辦法）及將前述106年2月2日注意事項修正為「保險業防制洗錢及打擊資恐內部控制要點」（下稱內控要點，此要點嗣已於107年11月11日廢止），然上訴人金管會於106年10月11日至25日期間辦理系爭檢查（檢查基準日：106年8月31日）時，上訴人宏泰人壽公司尚未依上訴人金管會106年4月10日之函文補正或內控要點修訂其內部注意事項。嗣壽險公會於106年11月3日修正注意事項範本等相關規範並報請上訴人金管會於同年月13日同意備查，上訴人宏泰人壽公司乃於同年12月28日訂定「防制洗錢及打擊資恐注意事項」、「洗錢及資恐風險評估及防制計畫政策」（以下合稱系爭內部規範）及於107年1月11日公告實施，並於107年2月8日陳報上訴人金管會。
系爭檢查報告因認上訴人宏泰人壽公司有「公司內部規範尚未配合本會106.6.28修正之『金融機構防制洗錢辦法』及『保險業防制洗錢及打擊資恐內部控制要點』完成修訂，現行客戶風險評估模型亦尚未依『保險業防制洗錢及打擊資恐內部控制要點』第5點規定更新，核與……『保險業內部控制及稽核制度實施辦法』第32條第3項第2款規定不符」之違規情事，上訴人金管會爰作成原處分就此部分裁罰上訴人宏泰人壽公司60萬元罰鍰等情，業經原審依調查證據之辯論結果，認定甚明，核與卷內證據相符。
⒋承上足見，上訴人宏泰人壽公司雖訂有防制洗錢、打擊資
恐之相關內部規範，然其於106年2月21日修正之內部注意事項，經上訴人金管會於106年4月10日函請上訴人宏泰人壽公司應配合106年2月2日注意事項辦理修正後，不僅未見其修正，且上訴人金管會於106年6月28日訂定發布防洗辦法及修正內控要點後，上訴人宏泰人壽公司亦於107年2月8日始向上訴人金管會陳報其於106年12月28日所訂定之系爭內部規範。又前揭檢查基準日（106年8月31日）僅係在於設定金融檢查之基準時點，藉以劃定所要檢查之業務及交易的期間範圍，而非就違反行政法上義務之繼續性行為（作為或不作為），限制主管機關認定違規事實之範圍，僅能侷限在基準日前之期間。準此，於系爭檢查之期間（期間末日為106年10月25日），上訴人宏泰人壽公司仍尚未配合106年6月28日訂定或修正之防洗辦法及內控要點，修正其內部相關規範，其「未建立內部控制制度」之繼續性不作為，已近4個月之久，參諸上訴人宏泰人壽公司尚能於壽險公會修正注意事項範本並報請上訴人金管會於105年12月15日備查後，以2個月餘之時間，於106年2月21日完成修正其內部規範，亦能在壽險公會於106年11月3日修訂範本並報經上訴人金管會於同年月13日同意備查後，即在不到2個月內，於同年12月28日完成其相關內部規範，卻以其欲待壽險公會完成範本修正為由（詳後述），遲至系爭檢查實施期間（期間已歷近4個月）仍未能完成內部相關規範之更新。則原處分以上訴人宏泰人壽公司未配合相關法規適時更新其內部規範，已違反內控稽核實施辦法第32條第3項第2款規定，而依保險法第171條之1第4項規定予以裁處罰鍰60萬元，於法並無不合。
⒌原判決以上訴人金管會自106年2月2日修正注意事項起，即
經過複雜之法令修正過程，亦多次指示壽險公會配合修正範本、召集保險業檢討及調整內控制度、稽核程序，上訴人宏泰人壽公司既已派員參與壽險公會相關會議討論，則上訴人宏泰人壽公司為免修正之內部規範未獲上訴人金管會認可備查，稍待壽險公會與上訴人金管會間就範本內容獲致共識，並無不合理之處，難認上訴人宏泰人壽公司有客觀上可以合理期待進行內控及稽核規範之更新，竟怠忽為之的事實等語，固非無見。惟查，內控稽核實施辦法第32條第3項第2款係規定保險業（法令遵循單位）應配合「相關法規」適時更新內部規範，公會是否修訂範本或其修訂進程，均無從解免保險業者上開行政法上義務或其違反義務之行政罰責；且壽險公會於106年11月3日修訂範本後，上訴人金管會於同年月13日同意備查時，於函文說明四載明：「請將修正後注意事項範本及防制計畫指引轉知會員機構參照辦理，及將修正後注意事項函報本會；另為強化所屬會員對旨揭新修正之注意事項範本等內容之瞭解，請舉辦相關說明會廣為宣導。」等情，亦為原審依法確定之事實。可見，壽險公會之範本雖係供該公會之會員機構參照辦理，但並無礙於保險業者配合相關法規適時更新內部規範後，再行參照公會所發布之新近範本而為修訂。原審未察，逕以上開情詞為由，認上訴人宏泰人壽公司並無違反適時更新之義務，而將原處分事實第16項之裁罰及其訴願決定予以撤銷，自有判決適用法規不當之違法，且其違法足以影響判決結果，上訴人金管會求為廢棄改判，為有理由。又此部分依原審確定之事實，本院已可自為判決，爰將此部分原判決廢棄，並駁回上訴人宏泰人壽公司在第一審之訴。
㈡上訴駁回部分（事實第17項、第18項部分）：⒈事實第17項部分：
⑴內控稽核實施辦法第4條第2款、第3款規定：「保險業之
內部控制制度，至少應包括下列組成要素：……。二、風險評估：風險評估之先決條件為確立各項目標，並與保險業不同層級單位相連結，同時需考慮保險業目標之適合性。管理階層應考量保險業外部環境與商業模式改變之影響，以及可能發生之舞弊情事。其評估結果，可協助保險業及時設計、修正及執行必要之控制作業。三、控制作業：係指保險業依據風險評估結果，採用適當政策與程序之行動，將風險控制在可承受範圍之內。控制作業之執行應包括保險業所有層級、業務流程內之各個階段、所有科技環境等範圍及對子公司之監督與管理。」（該條規定自104年5月12日修正後，迄今未經修正）；而該辦法於106年10月19日修正發布後，其第7條第1項、第2項規定：「（第1項）保險業為維持有效之內部控制制度運作，達成第二條所定內部控制之目標，應建立自行查核制度、法令遵循制度與風險管理機制及內部稽核制度等內部控制三道防線。（第2項）為落實前項規範，保險業應配合採行下列措施：一、內部稽核制度：……。二、法令遵循制度：……。三、自行查核制度：……。四、會計師查核制度：……。五、風險控管機制：應建立獨立有效風險管理機制，以評估及監督其風險承擔能力、已承受風險現況、決定風險因應策略及風險管理程序遵循情形。」（修正前第7條並無分項規定，其本文規定為：「保險業為維持有效之內部控制制度運作，達成第二條所定內部控制之目標，應配合採行下列措施：」而該條所列5款措施，亦為內部稽核制度、法令遵循制度、自行查核制度、會計師查核制度及風險控管機制，除第1款內部稽核制度之規定內容略作文字修正外，其餘各款均未修正），其修正意旨略以：內部控制三道防線，自行查核為第一道防線，法令遵循與風險管理為第二道防線，內部稽核為第三道防線，為使內部控制制度能有效及適當的運作，由第一道、第二道防線進行風險監控，第三道防線進行獨立監督，三道防線各司其職等語。經核前揭106年10月19日修正前、後內控稽核實施辦法第7條規定，均係就保險業為維持有效之內部控制制度運作而應配合採行之措施所為之規範，其修正前、後之規範意旨及內涵，實質上尚無不同。
⑵又106年10月19日修正之內控稽核實施辦法第5條第1項第
13款規定：「保險業應分別業務性質及規模，依內部牽制原理訂定至少應包括下列控制作業之處理程序，且應適時檢討修訂：……。十三、防制洗錢及打擊資恐機制及相關法令之遵循管理，包括辨識、衡量、監控洗錢及資恐風險之管理機制。」該次修正意旨略以：為強化防制洗錢及打擊資恐機制，爰參考金融控股公司及銀行業內部控制及稽核制度實施辦法第8條第1項第11款規定，明定控制作業之處理程序應包括防制洗錢及打擊資恐相關法令之遵循管理，增訂第1項第13款規定（按：修正前內控稽核實施辦法第5條第1項僅設有12款規定），並將現行（按：指106年10月19日修正前）條文第8條第3項第4款規定移列本款並酌作文字修正等語；而修正前該辦法第8條第3項第4款規定：「保險業之風險控管機制應包括下列原則：……。四、應建立辨識、衡量與監控洗錢及資助恐怖主義風險之管理機制，及遵循防制洗錢相關法令規章之標準作業程序，以降低其洗錢及資助恐怖主義發生之風險。」⑶綜上規定可知，保險業於設計內部控制度時應綜合考量
內部控制制度之組成要素，包括風險評估、控制作業等，而風險評估乃保險業設計、修正及執行必要控制作業之基礎，保險業應依風險評估結果，採用適當政策與程序之行動，以處理及降低風險，將風險控制在可承受範圍之內。因此，保險業應建立風險控管機制，以維持有效之內部控制制度運作，其具體內容包括建立獨立有效風險管理機制，以評估及監督其風險承擔能力、已承受風險現況、決定風險因應策略及風險管理程序遵循情形。又106年10月19日修正前內控稽核實施辦法第8條第3項第4款規定之「（保險業）應建立辨識、衡量與監控洗錢及資助恐怖主義風險之管理機制」等內容，雖係規定為保險業之風險控管機制「原則」之一（參見該條文之本文規定），然其規定內容實亦為風險評估（辨識、衡量或評估風險）及控制作業（監控或監督風險）之採行措施或處理程序，而併為風險控管機制或風險管理機制之內涵。準此，106年10月19日修正之內控稽核實施辦法將修正前該辦法第8條第3項第4款規定之控制作業及其基礎之風險評估，移列為控制作業處理程序之一，而於修正後該辦法第5條第1項增列第13款規定，核其前後規範意旨，實質上並無不同。⑷又行政訴訟採職權調查原則，行政法院應依職權調查事
實關係，不受當事人事實主張及證據聲明之拘束（行政訴訟法第125條第1項參照），行政機關之追補理由既有助於法院發現客觀事實與法律依據，且符合訴訟（程序）經濟之要求。因此，於「未改變行政處分之本質與結果（同一性）」、「屬於裁判基準時已存在之理由」、「無礙當事人之攻擊防禦（程序保障權利）」及「由行政機關自行追補理由」之前提下，自得允許行政機關於行政訴訟中追補行政處分之理由及其法律依據。
⑸經查，上訴人金管會於執行系爭檢查時，認上訴人宏泰
人壽公司有：①於基準日有尚未將放款客戶納入防制洗錢及打擊資恐作業，並辦理姓名、名稱檢核及風險評級、②基準日尚未將人壽保險契約之受益人納為是否執行強化確認客戶身分措施之考量因素、③客戶風險評級作業程式(ps077)（下稱系爭程式）未將是否曾通報疑似洗錢列為風險評估項目，與上訴人宏泰人壽公司所訂「洗錢及資助恐怖主義風險管理機制」規範不符等違規情事，違反106年10月19日修正後內控稽核實施辦法第5條第1項第13款規定，爰作成原處分就此部分裁罰上訴人宏泰人壽公司60萬元罰鍰等情，已經原判決依法認定甚明，並就上訴人宏泰人壽公司主張其放款客戶僅有10戶，發生洗錢與資恐之機率與風險較低，待資源逐漸到位，其即於107年2月將放款客戶納入姓名及名稱檢核對象，並規劃放款作業應行辦理之風險評級，且系爭檢查時，上訴人宏泰人壽公司於105年7月29日即已訂有風險管理機制，符合內控稽核實施辦法、防洗辦法之規定；另系爭程式並非涉及「辨識、衡量、監控洗錢及資恐風險之管理機制或相關法令之遵循管理」等節，何以不足採取，予以指駁甚詳，經核與卷內證據並無不合，亦無違反論理法則、證據法則或理由不備、理由矛盾之情事。而就原處分事實第17項之事實係以「基準日」（即106年8月31日）為準，原處分卻適用106年10月19日始修正之內控稽核實施辦法第5條第1項第13款規定一節，原判決論斷：106年10月19日修正公布前內控稽核實施辦法第8條第3項第4款與修正後該辦法第5條第1項第13款規定，前後修正條文用語大致相同，均係為「防制洗錢及打擊資恐」之目的，要求保險業之內控制度應就前開目的事項建立「具有辨識、衡量與監控功能之管理機制」，行為義務內涵並無變更，足認內控稽核實施辦法於106年10月19日修正前即已明訂保險業之內控制度應就洗錢及資助恐怖主義風險事項建立相關管理機制。原處分事實第17項部分，於法令依據雖記載為106年（原判決誤載為109年）10月19日修正之內控稽核實施辦法第5條第1項第13款規定，惟上訴人金管會於訴訟中變更其原處分之法律依據為修正前同辦法第8條第3項第4款規定，因二者於文義內容，僅係文字修正及條號移列；規範意旨則相同，堪認符合行政處分同一性，且為裁判基準時即原處分作成時即已存在之情形，尚足以使上訴人宏泰人壽公司知悉其受原處分論罰所依據法令之內容，復經上訴人金管會於言詞辯論意旨狀及原審言詞辯論期日據以變更，無礙當事人之攻擊防禦，應屬合法之處分理由追補。原處分就此部分裁罰上訴人宏泰人壽公司罰鍰60萬元，於法並無違誤等語，據此而駁回上訴人宏泰人壽公司之訴，依上開規定及說明，並無不合。上訴意旨執其主觀之意見，並援引與本件爭議無關之「保險公司與辦理簡易人壽保險業務之郵政機構及其他經金融監督管理委員會指定之金融機構防制洗錢及打擊資恐內部控制與稽核制度實施辦法」（下稱保險與郵政機構及其他金融機構內控稽核實施辦法），主張106年10月19日修正後內控稽核實施辦法第5條第1項第13款與修正前該辦法第8條第3項第4款規定，兩者之「法定項目」、「功能」及「目的」均有不同，原判決認兩者為移列關係並僅為文字修正，顯對法律之解釋有所誤解，故原處分適用行為後始修正之內控稽核實施辦法第5條第1項第13款規定，裁罰上訴人宏泰人壽公司，顯然違反處罰法定原則及法律不溯及既往原則；防制洗錢及打擊資恐內部控制作業項目及程序之主要法律依據，係於107年11月9日始訂定發布之保險與郵政機構及其他金融機構內控稽核實施辦法，自不能恣意回溯填充前開修正前內控稽核實施辦法第8條第3項第4款規定等語，均無可採。
⒉事實第18項部分：
⑴防洗辦法第8條第3款規定：「金融機構對客戶及交易有
關對象之姓名及名稱檢核，應依下列規定辦理：……。三、金融機構執行姓名及名稱檢核情形應予記錄，並依第十二條規定之期限進行保存。」因此，金融機構（包括保險公司）應對客戶及交易有關對象之姓名及名稱辦理檢核，無論檢核結果如何，均應將執行姓名及名稱檢核情形予以記錄並保存，此核屬風險管理機制之一，而為前揭106年10月19日修正後內控稽核實施辦法第5條第1項第13款或修正前該辦法第8條第3項第4款所定之辨識、衡量、監控洗錢及資恐風險之管理機制的範疇。如保險業者對於「執行（客戶及交易有關對象）姓名及名稱檢核情形應予記錄並保存」之制度未予建立或雖有建立然未確實執行，即屬違反上開實施辦法之規定，而得依保險法第171條之1第4項規定予以裁罰。
⑵經查，上訴人金管會於執行系爭檢查時，認上訴人宏泰
人壽公司有「對經由系統辦理姓名及名稱檢核之案件，未留存檢核紀錄、辦理客戶姓名及名稱檢核，對疑似洗錢資料庫名單之客戶，經核保人員判斷非屬資料庫名單者，未註記查證過程及認定原因，如保單號碼110659****（生效日106.8.15）被保險人陳○明，核與『金融機構防制洗錢辦法』第8條第3款規定及……『保險業內部控制及稽核制度實施辦法』第5條第1項第13款所訂防制洗錢及打擊資恐控制作業之處理程序不符」之違規情事，上訴人金管會爰就此部分作成原處分裁罰上訴人宏泰人壽公司60萬元罰鍰等情，業經原審依法認定甚明，並就上訴人宏泰人壽公司主張核保人員將被保險人陳○明資料輸入該公司之洗錢防制系統，由該系統進行內部資料庫、外部資料庫比對，檢核結果為疑似洗錢資料庫名單之人員，洗錢防制系統遂顯示警報，惟經核保人員以國籍不同為由確認為誤判而排除警示，雖未於系統上註記誤判原因，然已於核保簽辦單完成檢核勾選後始辦理承保，作為檢核紀錄，足見上訴人宏泰人壽公司已訂定相關管理機制一節，何以不足採取，予以指駁明確，經核與卷內證據並無不合，亦無違反論理法則、證據法則或理由不備、理由矛盾之情事。原判決亦以前述（即原處分事實第17項部分）關於上訴人金管會業已合法為理由追補之相同理由，敘明：原處分事實第18項認上訴人宏泰人壽公司違反106年10月19日修正前內控稽核實施辦法第8條第3項第4款規定（按：指理由追補後之法令依據），該當保險法第171條之1第4項之未執行內部控制或稽核制度之要件，於法有據等語，而駁回上訴人宏泰人壽公司之訴，依上開規定及說明，並無不合。上訴意旨執與前述就原處分事實第17項部分之相同理由，主張原審對法律之解釋有所誤解、原判決違反處罰法定原則及法律不溯及既往原則等節，均無可採。
㈢據上論結，本件上訴人金管會上訴為有理由，上訴人宏泰人
壽公司上訴為無理由。依行政訴訟法第255條第1項、第256條第1項、第259條第1款、第98條第1項前段，判決如主文。
中 華 民 國 114 年 12 月 30 日
最高行政法院第二庭
審判長法官 陳 國 成
法官 高 愈 杰法官 林 秀 圓法官 楊 坤 樵法官 李 明 益以 上 正 本 證 明 與 原 本 無 異中 華 民 國 114 年 12 月 30 日
書記官 林 郁 芳