ISO/TS 37008:2023 組織內部調查實務培訓課程
ISO/TS 37008:2023 組織內部調查實務培訓課程
ISO/TS 37008:2023提供組織內部調查指引，協助企業建立調查政策、程序、執行與報告方法，讓疑似違失案件能在適當授權下，依客觀證據處理。
本課程適合法遵、法務、人資、內部稽核、風險管理及案件處理人員，學習規劃調查、保存證據、進行訪談與撰寫報告，降低事實判斷錯誤及程序不當的風險。
ISO/TS 37008屬技術規範中的指引文件，不是管理系統認證要求標準。完訓不等於取得司法調查權限或其他法定專業資格。
ISO/TS 37008內部調查主要處理什麼問題？
內部調查是組織針對具體疑慮，透過有計畫的資料蒐集與分析，確認相關事實的程序，不能先預設某人有錯，再尋找支持指控的證據。
常見情境包括疑似賄賂、利益衝突、採購異常、資料不當使用及其他違反制度的行為，實際範圍應依授權與適用要求決定。
內部調查就是找出要懲處的人嗎？
不是。調查應先查明事實與證據限制，後續是否採取懲處、補救或其他措施，應由適當權責者依法依規決定。
即使未發現個人違失，仍可能需要改善授權、付款或資料存取等制度缺口。
內部調查、內部稽核與吹哨者管理有什麼差別？
三者可以銜接，但目的、授權與工作方法不同，不宜由同一套程序全部取代。
| 項目 | 內部調查 | 內部稽核 | 吹哨者管理 |
|---|---|---|---|
| 核心目的 | 查明具體疑慮的事實 | 評估制度符合性與有效性 | 妥善接收及處理違失通報 |
| 常見起點 | 通報、異常或其他線索 | 年度計畫與風險安排 | 內外部人員通報 |
| 工作重點 | 證據、訪談與分析 | 抽樣、要求對照及改善 | 分類、處理、保護與結案 |
| 主要成果 | 調查報告與建議 | 稽核發現及報告 | 案件處理與保護紀錄 |
稽核發現異常，可以直接展開調查嗎？
應先依升級程序確認授權、範圍、能力與利益衝突，不能只因具有稽核職務，就自行擴大查閱個人資料或詢問當事人。
哪些企業與人員適合參加？
需要處理疑似違失、建立調查程序，或提升案件品質的組織，都可依職責安排培訓。
| 適合對象 | 主要學習需求 |
|---|---|
| 法遵及倫理管理人員 | 案件分流、授權與程序管理 |
| 法務及風險管理人員 | 法律議題、風險及升級安排 |
| 人資人員 | 員工訪談、程序公平與保護 |
| 內部稽核人員 | 異常辨識與調查銜接 |
| 財務及採購人員 | 交易資料與履約證據分析 |
| 資訊及資安人員 | 依授權保存電子資料 |
| 管理主管 | 資源配置、迴避與後續決策 |
本課程會培養哪些調查實務能力？
課程以「確認授權、保存證據、查明事實、清楚報告」為主軸，搭配匿名案例演練。
| 課程單元 | 學習內容 | 實務練習 |
|---|---|---|
| 調查治理 | 原則、權責、公正與利益衝突 | 界定角色及迴避安排 |
| 初步評估 | 疑慮、急迫性與保護需求 | 決定處理路徑 |
| 調查規劃 | 範圍、議題、資源與方法 | 編製調查計畫 |
| 證據管理 | 蒐集、保存、移轉與存取 | 建立證據索引 |
| 訪談實務 | 問題設計、紀錄與交叉核對 | 訪談角色演練 |
| 分析與報告 | 事實、推論、矛盾與限制 | 撰寫調查發現 |
| 補救與結案 | 改善、追蹤及資料保存 | 建立結案清單 |
ISO/TS 37008涵蓋調查原則、調查支持、執行與報告程序，以及補救措施，適用於不同類型與規模的組織。
調查開始前應確認哪些事項？
應先明確定義要釐清的問題，再決定資料、訪談與專業支援需求，避免無限制擴大調查。
| 準備項目 | 應確認內容 |
|---|---|
| 授權來源 | 誰核准、向誰報告及可採取哪些行動 |
| 調查範圍 | 涉及活動、期間、地點與具體疑慮 |
| 公正性 | 調查人員是否有利益衝突 |
| 適用要求 | 勞動、個資、證據取得及其他相關規定 |
| 保存需求 | 哪些資料可能被刪除、覆寫或變更 |
| 人員保護 | 是否存在報復、干預或其他安全風險 |
| 溝通安排 | 誰可以知悉進度與結果 |
案件涉及高階主管，應如何安排？
應採適當的獨立報告與授權路徑，避免由涉案人員控制調查範圍、證據或結論。
是否需要外部專業支援，應依嚴重性、內部能力與利益衝突判斷。
證據應如何蒐集與保存？
證據管理應保留來源、取得方式、時間及處理紀錄，並控制存取，讓後續能追溯資料是否完整及曾經變更。
| 證據類別 | 常見內容 | 保存重點 |
|---|---|---|
| 交易資料 | 合約、付款、發票與驗收 | 核對原始來源及完整性 |
| 電子資料 | 郵件、系統紀錄與檔案 | 保留必要中繼資料及版本 |
| 書面紀錄 | 核准、會議與工作紀錄 | 區分原件、複本與註記 |
| 訪談資料 | 陳述、訪談紀錄與附件 | 記錄時間、參與人及確認方式 |
| 實體物品 | 設備、樣品或其他物件 | 編號、封存及移轉紀錄 |
公司設備上的資料都可以直接調閱嗎？
不能只因設備屬公司所有，就認定所有資料均可任意查看。
應先確認適用法律、政策、告知、授權及必要性；涉及私人通訊、跨境傳輸或敏感資料時，宜取得適當專業意見。
截圖可以作為唯一證據嗎？
截圖可提供線索，但可能缺少前後文、來源及時間資訊。能取得時，應保存原始資料或其他可驗證紀錄。
不得修改原始內容；分析註記宜另存，並維持與原件的對應關係。
調查訪談應如何進行？
訪談應以了解事實為目的，採清楚、開放及非誘導性的問題，並依適用程序給予受訪者適當說明機會。
| 訪談階段 | 建議做法 |
|---|---|
| 訪談前 | 確認目的、角色、權利及紀錄方式 |
| 開始時 | 說明程序、保密範圍與限制 |
| 詢問時 | 區分親自知悉、轉述與推測 |
| 核對時 | 針對矛盾與資料缺口補充詢問 |
| 結束時 | 確認補充資料、紀錄及後續聯繫 |
可以承諾訪談內容絕對保密嗎？
不宜。依法揭露、必要調查與後續處理可能需要分享部分資訊，應事先說明限制。
同時應限制知悉範圍，避免要求受訪者承擔過度保密義務，妨礙依法求助或通報。
調查報告應如何撰寫，才能支持決策？
報告應區分指控、已確認事實、分析與結論，並說明證據不足或無法確認的事項，避免將推測寫成事實。
| 報告項目 | 建議內容 |
|---|---|
| 授權與範圍 | 啟動原因、調查議題及期間 |
| 方法與限制 | 資料來源、訪談及未能取得的證據 |
| 事實發現 | 事件經過、證據及相互對應 |
| 分析 | 支持與不支持疑慮的資訊 |
| 結論 | 依適用判斷標準說明結果 |
| 後續建議 | 補救、控制改善與必要轉介 |
證據不足，就代表通報內容是假的嗎？
不是。證據不足可能來自紀錄缺漏、資訊無法取得或陳述無法核實。
應清楚表達「未能證實」與「有證據顯示未發生」的差別，避免誤導決策。
課程需要多久，費用如何評估？
以下為建議安排，實際時數依學員基礎與案例複雜度調整。
| 課程方案 | 建議時數 | 適合需求 |
|---|---|---|
| 調查制度與基礎 | 1天，約6–7小時 | 理解角色、流程與界線 |
| 調查實務演練 | 2天，約12–14小時 | 加入證據、訪談與報告 |
| 企業客製工作坊 | 依案例與範圍安排 | 使用匿名情境實作 |
費用依人數、語言、授課形式、地點及客製程度報價。實際案件調查、數位鑑識、法律意見與其他專業服務，應另行確認。
報名前有哪些常見疑問？
沒有調查經驗，可以參加嗎？
可以。課程可從授權、證據與基本訪談開始，實際承辦仍應依案件風險安排適當能力與督導。
內部調查一定要委外嗎？
不一定。應評估公正性、專業能力及資源；涉及高階主管、跨境或重大法律風險時，可考慮獨立專業支援。
標準是否規定所有案件必須固定天數結案？
不宜設定為通用要求。應依適用法定期限、案件複雜度與急迫性安排時程，並管理延誤原因。
完訓可以取代法定調查人員資格嗎？
不能。特定案件若有法定人員、組成或程序要求，仍須另外符合。
導入本指引就能保證證據被法院採納嗎？
不能。證據取得與使用須依適用法律判斷，遵循管理指引不等於保證法律效力。
課程會使用企業真實案件嗎？
可使用匿名或模擬案例。若需提供實際資料，應先確認授權、去識別、保密及資料使用範圍。
還可以延伸閱讀哪些相關主題？
ISO 37002吹哨者管理：建立受理、保護與案件分流。
ISO 37301法令遵循管理：銜接違失處理及改善。
ISO 37001反賄賂管理：辨識交易與第三方風險。
個資與機密資訊管理：強化證據存取與保存。
內部稽核實務：區分系統查核與具體案件調查。
下一步如何執行？ODI MORGAN提供哪些服務？
先整理現有通報、調查授權、證據保存及結案程序，再確認主要案件類型與參訓角色，選擇合適的培訓及演練範圍。
ODI MORGAN 歐迪摩根技術顧問有限公司可依需求規劃ISO/TS 37008實務培訓、調查流程差距評估、證據管理與訪談演練、報告範本設計及制度改善輔導。
歡迎提供產業別、營運地區、現有制度、參訓人數及預計完成時間，洽詢合適的課程方案與報價。
