「第十循環」：ESG 資料的內控設計——把九大循環的紀律，用在碳與能耗上（2026）

台灣公司的內控語言是九大循環：每個循環的授權、執行、記錄、覆核都有控制點，因為那些流程動的是錢、進的是財報。現在，ESG 資料進了年報永續專章——同一份文件、同一套責任體系——但多數公司的 ESG 數據產生過程，還停留在「各部門填 Excel、永續團隊彙總、沒人覆核、改了沒痕跡」的狀態。

這篇提出的框架很簡單：ESG 資料需要它自己的循環——我們叫它「第十循環」。方法論完全承襲九大循環（這正是它的優勢：你的公司已經會了），只是控制的對象從交易金額，變成活動數據、排放係數與揭露數字。

先立一條貫穿全文的定律：把 ESG 數據當一筆會計分錄對待。 分錄講究憑證、授權與留痕，ESG 數據也一樣——我們在內控系列反覆講的那句老話，在這裡原封不動成立：軌跡才是真話。

第十循環的四段流程與控制點

一、蒐集（活動數據的產生）。 控制點設計比照交易輸入：誰能輸入——電費度數、清運重量這些數據的輸入權限指定到角色（資料地圖專文講過，最好的設計是掛在既有單據流程裡，控制點就直接繼承該循環的權限）；輸入時效——數據跟著單據入帳同步登錄，不准月底補登一批（補登＝憑記憶與估計，數據品質的頭號殺手）；合理性檢核——系統層的邏輯檢查：度數與金額的比值異常、月用量偏離歷史區間過大，跳警示要求覆核。

二、計算（係數與彙總）。 兩個控制對象：排放係數主檔——單一來源表、維護權限指定、版本變更需覆核簽核（誰能改係數，就像誰能改料件成本——它直接改變產出數字）；彙總邏輯——計算模型（不管在系統裡還是治理過的 Excel 裡）的公式變更要有版控與簽核，年度間的計算口徑變動要留下說明。最忌諱的狀態：彙總檔案叫「盤查計算_v7_final_真的最終版.xlsx」，公式誰改過、為什麼改，天知道。

三、覆核（揭露前的把關）。 分層設計：數據層覆核——各據點／部門主管對自己範圍的活動數據簽核（如同部門主管簽核費用）；彙總層覆核——財會或永續主管對計算結果做分析性複核（年度比較、單位強度比較，異常追原因）；揭露層覆核——進年報專章前的最終覆核與簽核層級，建議比照財報的編製覆核架構，因為它們此後是同一份文件。分析性複核值得特別強調：「今年用電比去年多 30%，產量卻持平」這種問題，覆核的人要在會計師問之前先問。

四、軌跡（全程留痕）。 每個揭露數字要能回答同一個問題：「這個數字怎麼來的？」——從揭露值回溯到彙總計算、回溯到活動數據、回溯到來源單據，每一層的連結都在、每一次修改都有紀錄。這條資料鏈（data lineage）就是確信查核的主要查核路徑（詳見確信準備專文）——系統化取數的公司，這條鏈是自動存在的；人工轉貼的公司，這條鏈要靠紀律硬建，而紀律在人員異動時最脆弱。

職能分離：ESG 版的 SoD

九大循環有不相容職務，第十循環也有。幾組值得寫進權限設計的分離：輸入活動數據的人 ≠ 覆核的人（基本款）；維護排放係數的人 ≠ 執行計算的人（防止「調係數讓數字好看」的誘惑——減碳目標綁 KPI 或獎酬的公司，這條不是假設性風險）；編製揭露的人 ≠ 最終覆核簽核的人。人手少的公司比照九大循環的做法：做不到完全分離的，用獨立的事後覆核當補償控制（SoD 的完整方法見我們的權限設計專文——同一套工具，直接沿用）。

為什麼現在就要做：三個很實際的理由

確信正在逼近。 確信查核驗的不只是數字，是「產生數字的過程可不可信」——內控的存在與運作本身就是查核對象。臨查核前補內控，跟 IPO 前一年上 ERP 是同一種災難。數字綁上了利益。 減碳目標進了高階 KPI、綠色金融的利率條件掛著 ESG 表現、供應鏈要求年年加嚴——當數字影響錢，造假與美化的誘因就存在，控制點就從「治理潔癖」變成「必要防線」。人會走，制度要留。 ESG 團隊的流動率不低，數據方法只活在某個人腦裡的公司，換人就斷代——文件化與流程化是知識留存的唯一解（這個論點的完整版，見我們的內部團隊建置專文，邏輯完全相通）。

起手式：一張控制矩陣

不用等系統、不用等預算，今天就能做的第一步：把資料地圖盤出來的每一條數據流，畫進一張控制矩陣——欄位是「數據項目／來源／輸入者／輸入時效／覆核者／係數來源／軌跡形式／缺口」。用兩三條最常見的數據流做示範：

填完這張表，你的第十循環就有了設計圖；表上的每一個「缺口」，就是接下來的工作清單。這張矩陣同時是給確信查核的第一份見面禮——它證明你不只有數字，還有產生數字的制度。

查核的視角：會計師遲早會問的四題

確信規範還在演進，但查核邏輯可以推演。四個遲早會被問的問題，現在就用來自我檢驗：這個數字的輸入者與覆核者是誰（權限設定與簽核紀錄調得出來嗎）？係數的版本與變更簽核調得出來嗎（主檔變更史完整嗎）？彙總邏輯的變更有版控嗎（口徑變動有沒有留下說明與簽核）？從揭露值回溯到來源單據的鏈完整嗎（data lineage 每一層都接得起來嗎）？——四題答得出來，不管確信規範最後怎麼寫，你都站在對的那一邊。老規矩：紙上的制度誰都會寫，軌跡才是真話。

常見問題（FAQ）

「第十循環」是法規要求嗎？
不是法定名詞，是本站提出的框架：把九大循環的內控方法論延伸到 ESG 資料。法規面的依據是永續資訊進入年報體系後的責任要求，以及確信查核對內控與軌跡的檢視——框架是工具，需求是真的。

中小公司做得到嗎？
做得到，而且成本比想像低——控制點大多是「在既有流程加一個欄位、一道覆核」，不是另建一套系統。先從範疇二（電費）做出完整樣板，再複製到其他數據流。

ESG 內控要進公司的內控制度文件嗎？
建議要。永續資訊既入年報，其產生流程納入內控制度的書面化範圍是合理方向，具體要求請與簽證會計師確認。先做起來的公司，未來法規收緊時只是「補文件」，而不是「補制度」。

「第十循環」為本站提出之原創框架，將隨確信規範與查核實務演進持續迭代（建議每半年回訪本文）。本文為內控設計之一般性框架，貴公司內控制度之修訂請洽簽證會計師。若需要協助建立控制矩陣或第十循環的落地設計，歡迎與我們聯繫。