CTPAT反恐供應鏈安全內部稽核員培訓課程
CTPAT反恐供應鏈安全內部稽核員培訓課程
CTPAT反恐供應鏈安全內部稽核員培訓課程，協助企業查核人員、廠區、貨物、運輸工具及資訊安全，確認供應鏈安全措施落實於日常作業。
課程適合出口製造商、物流及倉儲業者的保全、行政、倉管、出貨、資訊、採購與內部稽核人員。當美國客戶要求安全問卷或供應商查核時，企業需要具備風險辨識與證據追溯能力，降低貨物遭夾藏、竄改或非法介入的風險。
CTPAT是什麼？是否屬於一般工廠認證？
CTPAT是美國海關及邊境保護局（CBP）推動的自願性海關與商貿反恐合作計畫。其會員資格、認證與驗證由CBP依正式程序管理，不是一般第三方機構可自行核發的工廠證書。
企業參加內訓、接受客戶安全查核，或取得其他供應鏈安全報告，都不代表已成為CTPAT會員。
| 項目 | 主要目的 | 成果界限 |
|---|---|---|
| 企業內部稽核 | 確認安全措施與改善需求 | 不產生CBP會員資格 |
| 客戶供應商查核 | 確認供應鏈安全符合客戶要求 | 不等於CBP正式驗證 |
| 第三方安全評估 | 依指定方案形成報告 | 須確認買方接受條件 |
| CTPAT正式參與 | 依CBP規則申請及維持資格 | 受企業類別與資格限制 |
台灣或越南工廠可以直接申請CTPAT嗎？
不能只因出口美國，就認定具有申請資格。必須依企業所在位置、營運角色及CBP開放的參與類別判斷。
CBP公布的「外國製造商」資格要求，包括在墨西哥或加拿大設立的合資格製造商。因此，台灣或越南一般製造工廠，不能直接套用該類別申請。
這些工廠仍可能因美國進口商或買方要求，實施CTPAT相關安全措施並接受供應商查核。培訓應先確認目標是客戶配合，還是合資格企業的正式申請。
課程應採用哪些現行安全要求？
課程應依企業角色，選用適用的最低安全準則（Minimum Security Criteria，MSC），再核對CBP公告與客戶要求。製造商、進口商及運輸業者不能直接使用完全相同的查核表。
教材也應區分強制性要求、建議措施與企業自訂規則。不能將所有建議一律判為強制，更不能因文件標示為建議，就忽略實際風險。
供應鏈安全是否只查保全與圍牆？
不是。現代供應鏈安全也涉及管理責任、風險評估、商業夥伴、資安、運輸與農業污染防治，不能只由保全部門單獨負責。
哪些人適合參加這門課程？
建議由涉及貨物及資訊交接的部門共同參加，讓安全責任涵蓋收貨、儲存、裝運與外部運輸。
| 適合對象 | 可應用的工作 |
|---|---|
| 保全及行政人員 | 出入、訪客、鑰匙及場域管理 |
| 倉儲與出貨人員 | 貨物、裝載、封條及交接控制 |
| 物流及運輸管理人員 | 承運商、路線與異常通報 |
| 採購及供應商管理人員 | 商業夥伴篩選及風險追蹤 |
| 人資及資訊人員 | 人員安全、權限與資安管理 |
| 內部稽核員 | 規劃抽樣、判讀證據與改善追蹤 |
課程會培養哪些實務查核能力？
學員應能沿著一批貨物的流向，查核各環節的安全控制。以下為課程可採用的主題，具體要求仍依適用MSC及客戶範圍判定。
| 課程主題 | 查核重點 | 建議演練成果 |
|---|---|---|
| 管理責任與風險 | 安全分工、供應鏈及威脅分析 | 風險清單 |
| 商業夥伴管理 | 資格、要求傳達與監督 | 夥伴審查表 |
| 場域及人員安全 | 出入、訪客、任離職與權限 | 現場查核紀錄 |
| 貨物及運輸安全 | 檢查、裝載、封條與交接 | 裝運追溯紀錄 |
| 農業安全 | 害蟲、土壤及可見污染防治 | 檢查與處理紀錄 |
| 資訊安全 | 帳號、存取、備份與事件處理 | 資安查核表 |
| 稽核與改善 | 訪談、報告及有效性確認 | 模擬稽核報告 |
貨櫃、運輸工具與封條應如何查核？
應查核完整作業鏈，而非只確認表單有簽名。檢查方法應配合運輸工具類型、貨物及適用要求，不宜將單一檢查點數套用所有情境。
| 作業階段 | 稽核問題 | 可檢視的證據 |
|---|---|---|
| 到場 | 車輛、司機及任務是否核對？ | 預約、身分及出入紀錄 |
| 裝載前 | 運輸工具是否完成適用檢查？ | 檢查結果與異常紀錄 |
| 裝載中 | 貨物、人員及區域是否受控？ | 裝載、監督與數量資料 |
| 施封 | 封條是否依程序領用及核對？ | 庫存、領用與施封紀錄 |
| 放行 | 貨物、文件與封條號碼是否一致？ | 出貨及交接資料 |
| 異常 | 不一致或疑似竄改如何處理？ | 通報、調查及處置紀錄 |
封條管理應涵蓋採購、保管、領用、異常與作廢。照片可作為輔助證據，但不能單獨證明所有檢查步驟確實完成。
商業夥伴與資訊安全應如何評估？
商業夥伴不能只簽一份承諾書
應依供應鏈風險檢視承運商、倉儲及其他相關夥伴，確認安全要求如何傳達、異常如何回報，以及改善如何追蹤。
轉包安排也需辨識。簽約對象與實際運送者不同時，可能產生責任及控制缺口，不能只核對供應商名稱。
資訊安全應連結貨運作業
訂單、出貨文件及封條資料遭未授權修改，也會影響供應鏈安全。稽核可檢查帳號權限、離職停權、資料備份與異常處理。
涉及人員背景、監視影像及訪客資料時，應遵守所在地勞動、個資及其他適用法律，不能以安全管理為由無限制蒐集。
農業安全與一般清潔有什麼差異？
農業安全關注運輸工具及相關物料是否帶入害蟲、土壤或其他可見污染。一般環境整潔不能完全取代裝運前檢查。
| 項目 | 一般清潔 | 農業安全查核 |
|---|---|---|
| 主要目的 | 維持整潔與作業環境 | 降低跨境攜帶污染及害蟲風險 |
| 查核對象 | 場域、設備及工作區 | 適用運輸工具、貨物與包裝 |
| 異常處理 | 清潔及維護 | 辨識、隔離、處理與通報 |
| 證據 | 清潔紀錄 | 檢查結果及異常處置 |
具體檢查與處理應依適用準則及檢疫要求執行，不能自行宣稱「消毒完成」就等於符合全部農業安全要求。
內部稽核與安全演練應如何安排？
建議依風險、出貨時段及過往異常選樣，涵蓋不同班別與作業人員。稽核員應維持客觀性，避免查核自己負責的工作。
| 階段 | 主要工作 | 預期成果 |
|---|---|---|
| 規劃 | 確認角色、範圍及風險 | 稽核計畫 |
| 準備 | 檢視程序、夥伴及裝運紀錄 | 查核清單 |
| 執行 | 追查實際出貨與現場作業 | 客觀證據 |
| 演練 | 模擬封條或身分不一致 | 通報與應變紀錄 |
| 改善 | 分析原因並執行措施 | 行動計畫 |
| 追蹤 | 確認控制及人員反應改善 | 有效性紀錄 |
演練應採受控方式，避免影響真實貨物或造成安全事件。發現疑似非法活動時，應依授權與適用通報程序處理。
課程需要多久？費用如何評估？
以下為企業培訓建議，並非CBP規定的統一課程時數。實際內容、評量及費用，以ODI MORGAN確認的方案為準。
| 培訓方式 | 建議時間 | 費用影響因素 |
|---|---|---|
| CTPAT安全基礎 | 1天 | 人數、語言及授課方式 |
| 內部稽核員培訓 | 2天 | 裝運、訪談及報告演練 |
| 現場實作工作坊 | 依範圍安排 | 場域、班別及供應鏈複雜度 |
| 異常與應變專題 | 依需求安排 | 演練設計及追蹤需求 |
CBP表示，參加CTPAT計畫本身不收取加入費用，也不強制使用中介。企業支付的培訓、顧問或設施改善費，應與官方加入費用清楚區分。
報名前常見的疑問有哪些？
沒有會員申請資格，還需要上課嗎？
若客戶要求供應鏈安全措施，仍有學習需要。課程應聚焦適用的供應商要求，而非承諾取得會員資格。
完訓會取得CBP官方稽核員資格嗎？
不會自動取得。一般企業內訓證明不等於CBP授權、CTPAT會員資格或正式驗證結果。
已有GSV、SCAN或ISO 28000，可以直接替代嗎？
不能自行推定。共同控制可整合，但方案成果與客戶接受條件仍須分別確認。
一定要全面加裝監視器與保全設備嗎？
應依適用要求及風險評估決定。設備必須配合權限、維護與異常處理，不能只靠增加硬體解決所有問題。
能保證通過客戶查核或免除海關查驗嗎？
不能。結果取決於實際控制與適用規則，會員或其他評估成果也不能理解為所有貨物免查驗。
還可以延伸閱讀哪些相關主題？
可依企業需求，搭配閱讀或安排相關課程：
GSV全球供應鏈安全驗證：理解安全評估與改善。
SCAN供應鏈安全管理：熟悉客戶指定查核。
ISO 28000供應鏈安全管理系統：建立持續管理機制。
缺失判定與矯正措施：提升原因分析及追蹤品質。
下一步如何執行？ODI MORGAN推薦哪些服務？
建議先整理企業角色、所在地、客戶要求、出貨模式、運輸方式及既有查核報告，確認目標是供應商配合查核，還是合資格企業的申請支援。
推薦向ODI MORGAN洽詢CTPAT反恐供應鏈安全內部稽核員培訓、企業內訓、模擬查核與安全演練工作坊。可依需求規劃貨物、封條、出入、夥伴與資訊安全查核，具體範圍以確認方案為準。
提供參訓人數、職務、語言及預計時程，即可進一步確認課綱與報價，將安全要求落實於每次收貨、裝運與交接。
