行動支付風險管理與稽核機制實證研究－以G數位科技股份有限公司為例

An Empirical Study of Risk Management and Auditing Mechanisms for Mobility Payment: A Case of G Digital Enterprise of Technology

謝亞庭(Ya-Ting Hsieh)；萬貴然(Kuei-Lan Wan)；張碩毅(She-I Chang)

行動支付 ； 風險管理 ； 稽核 ； mobile payment ； risk management ； audit

Electronic Commerce Studies

15卷1期（2017 / 03 / 31）

105 - 146

繁體中文

隨著行動支付新興科技快速發展，給企業帶來發展契機卻也隱含著風險，也引發各界對於其安全性的疑慮，本研究從探究行動支付在應用上的威脅及風險著手，進一步發展一套行動支付環境下企業風險管理與稽核之機制，以確保組織的風險控管皆經良好設計並有效地執行。在研究策略上採用Gowin's Vee 模型，藉由文獻探討與德爾菲專家問卷來建構及修正「企業於行動支付環境下之風險因子」、「行動支付環境下之內部控制稽核要項」，共得出86 個風險因子與158 項稽核要項，並依據企業交叉風險8 類，作為風險因子的分類架構，進一步辨識這些稽核要項與風險類別的對應情況，因此可檢驗該內部控制是有機會解決此類行動支付風險。最終發展出一份行動支付風險管理與稽核手冊，由手冊中的檢核表，輔以CMMI 模型，可作為企業自我評估行動支付環境下的風險是否有相關的內控有效地管理，同時識別出其內控及風險管理上的薄弱環節並作改善。後續透過個案研究的方式進行實務上的驗證，訪談過程中除了了解到個案公司在因應行動支付所採行的風險內部控制及稽核作法，更進一步地驗證本機制於個案公司實務上運用的可行性。

This study starts from exploring the mobile payment risks. Further, developing a risk management and auditing mechanism for organization under mobile payment environment. To ensure that organization’s risk controls are well-designed and effective implementation. Gowin’s Vee model is adopted in the research strategy. Through literature review and the Delphi expert questionnaire, this study constructs and revises a number of risk factors and audit items under the mobile payment environment. Total are 86 risk factors and 158 audit items. Then classifications of risk factors rely upon the cross-risk of enterprise from the Research Central of Economics. Further identify these items corresponding to risk categories. This study can be illustrated that the internal controls have the opportunity resolve the type of mobile payment risks, finally builds a manual of mobile payment risk management and audit. By the checklist in manual, plus CMMI model, organizations can execute self-assessment risk whether have related internal controls to effective management. Afterwards, these mechanisms inspect through a practical case to verify. In the interview, the inspection is understood not only the internal controls and audit approach in response to mobile payment, but also reveals feasibility of the mechanisms on the practical usage by the G digital enterprise of technology.

1. 林宜融、吳淑娟(2015)。行動支付之風險因子探討─以第三方支付為例。電腦稽核期刊，32，97-111。
   連結：
2. IDC (2014)。IDC 公佈2015 年台灣ICT 市場十大趨勢預測：4G、物聯網、巨量資料與雲端應用帶動2015 市場創造歷史新高。檢索日期：2016 年6 月15 日，取自：http://www.idc.com.tw/about/448.html/
3. Thales(2015). Mobile Payments: Today's Challenge. Retrieved June 11, 2016, from: https://www.thales-esecurity.com/solutions/by-technology-focus/mobile-payments
4. Deloitte. (2013). Mobile payments: Opportunity vs. risk. Retrieved June 15, 2016, from : https://www2.deloitte.com/content/dam/Deloitte/uk/Documents/audit/deloitte-ukmobile-payments-opportunities-audit-advisory.pdf
5. 周智禾(2014)。RSA conference Asia pacific & Japan 2014 報告。資通安全辦公室公務出國報告，未出版。
6. Gartner. (2012). Forecast: Mobile payment, worldwide, 2013 Update. Retrieved June 15, 2016, from : http://www.eettaiwan.com/ART_8800709769_617723_NT_e10bcfec.HTM
7. 資安人(2015)。行動支付高攻擊風險持續延燒。檢索日期：2016 年6 月14 日。取自：http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=8202/
8. 證交所(2015)。內部控制制度有效性判斷參考項目。檢索日期：2016 年6 月14 日，取自： http://www.twse.com.tw/ch/announcement/official_result.php?DEC_DATE=104%2F07%2F15&DEC_DATE1=104%2F07%2F15&KIND=ALL&hs_file=all&sub=%ACd%B8%DF/
9. 美國商業資訊(2015)。ISACA 調查：87%的網路安全專家認為行動支付資料外洩事件會上升，而有42%仍在使用這種支付方式。檢索日期：2016 年6 月10日， 取自： http://www.businesswire.com/news/home/20150925005248/zh-HK/#.Vgiwjsuqqko/
10. MilinBhise(2013)。為行動支付建立安全的無線網路。檢索日期：2016 年6 月10日，取自：http://www.eettaiwan.com/emag/1304_09_SL.html/
11. 拓墣產業研究所(2015)。2018 年NFC 手機出貨可望突破12 億支，行動支付安全性成關鍵。TechNews 。檢索日期： 2016 年6 月10 日， 取自：http://technews.tw/2015/05/14/nfc-phone-2018-mobile-payment/
12. 趨勢科技(2015)。【資料圖表】行動支付安全。檢索日期：2016 年6 月10 日，取自：http://blog.trendmicro.com.tw/?p=10861/
13. ISACA (2012). COBIT 5. Retrieved June 11, 2016, from: https://cobitonline.isaca.org/?cid=pr_1104545&appeal=pr
14. 邱映曦(2014)。行動支付大未來。匯流政策研究室電子報，23。存取日期：2016年6 月11 日， 取自： https://drive.google.com/file/d/0B85Kc2PALpj3dU1kRkNGTFdhQ00/view
15. 蔡佳昕、林嘉裕、陳怡娟、黃富纖(2013)。主要國家零售支付創新的調查分析（國際清算銀行2012 年出版）。中央銀行發行局翻譯報告，未出版。
16. ENISA(2010). Smartphones: Information security risks, opportunities and recommendations for users. Retrieved June 15, 2016, from : http://www.bankinfosecurity.co.uk/agency-releases/smartphones-information-security-risks-opportunities-r-2373
17. 中國信託銀行(2016)。台灣大車隊QR 扣付款簡介。檢索日期：2016 年6 月15 日，取自： https://www.ctbcbank.com/CTCBPortalWeb/toPage?id=TW_RB_CM_creditcard_000167/
18. TRMG(2012). The top 10 risks for mobile payments. Retrieved June 15, 2016, from: http://www.lavastorm.com/assets/Top-10-Risks-for-Mobile-Payments-TRMG-3-12.pdf
19. 經濟部工業局(2016)。CMMI 介紹。檢索日期：2016 年6 月15 日，取自：http://www.softwarevalue.org.tw/main/modules/MySpace/index.php?sn=sv&pg=ZC1618/
20. ISO/IEC(2011).ISO/IEC 27005 Information technology - Security techniques -Information security risk management. Retrieved June 11, 2016, from: http://www.iso27001security.com/html/27005.html
21. 行政院研究發展考核委員會(2012)。行動裝置資安防護參考指引V1.0。檢索日期：2016 年6 月10 日，取自：http://www.nccst.nat.gov.tw/CommonSpecification/
22. OWASP (2012). The mobile App top 10 risks. Retrieved June 15, 2016, from https://www.owasp.org/images/9/94/MobileTopTen.pdf
23. 林明海(2012)。NFC 行動支付與第三方支付應用的發展。檢索日期：2016 年6 月10 日， 取自： http://www.centerforpbbefr.rutgers.edu/TaipeiPBFR%26D/2013-06-01/PPT/04-3NFC 行動支付與第三方支付應用的發展.pdf
24. 江榮倫、黃邦平、萬幼筠(2014)。電子支付安全風險管理與契機(上)。檢索日期：2016 年6 月10 日。取自：http://www2.deloitte.com/tw/tc/pages/risk/articles/newsletter-11-40.html/
25. Everett, C.(2011).A risky business: ISO 31000 and 27005 unwrapped.Computer Fraud & Security,2011(2),5-7.
26. ISACA(2011).,未出版
27. ISACA(2012).COBIT 5: A business framework for the governance and management of enterprise IT.
28. ISO,IEC(2009).ISO/IEC 31000 Risk management - principles and guidelines.
29. ISO,IEC(2013).ISO/IEC 27001 Information technology - security techniques -information security management systems - requirements.
30. NIST(2007).,未出版
31. Novak, J. D.,Gowin, D. B.(1984).Learning How to Learn.UK:Cambridge University Press.
32. SANS Institute(2012).,未出版
33. SCAMPI Upgrade Team(2006).Standard CMMI Appraisal Method for Process Improvement (SCAMPISM) A, Version 1.2: Method Definition Document (SEI-2011-HB-001).PA:Carnegie Mellon University.
34. Veugelen, W.,Desai, S.(2015).Security considerations for mobile payment devices: Trends, risks and countermeasures.RSA conference 2015
35. 李培群(2010)。IT控制架構COBIT之探討─兼述GTAG之遵循。證交資料
36. 周楷智(2015)。碩士論文(碩士論文)。嘉義，國立中正大學會計與資訊科技研究所。
37. 林淑芸、金旻姍(2015)。美國COSO內部控制相關報告之介紹。證券暨期貨月刊，33(6)，5-12。
38. 洪士程編(2011)。RFID 概論。台中:朝陽科技大學。
39. 香港無線科技商會(2012)。智能手機資訊保安實用電子指南。香港:香港生產力促進局。
40. 陳俊德、鄭祐全(2008)。NFC 近端服務系統資訊安全政策風險評估之研究。2008 數位科技與創新管理研討會
41. 黃俊超(2014)。行動支付新時代。先探，1796
42. 葉慈章、王志翔、吳家陞(2013)。符合EPC Class 1 Generation 2的RFID向前安全性協定。中正嶺學報，42(1)，189-198。

1. 張書毓,邱紹群(2022)。疫情來了，你行動支付了沒？。管理資訊計算，11(1)，81-94。