Due Diligence vs. Due Care 核心辨析：從知情調查到執行責任的管理層法律義務全解析

開場引言

在資訊安全與企業治理中，管理層常因混淆 Due Diligence 與 Due Care 而承擔不必要的法律風險。前者是決策前的「知情義務」，後者是決策後的「執行責任」，兩者缺一不可。

Due Diligence：決策前「知道」的義務

Due Diligence（盡職調查） 是行動前的調查與評估過程。管理層必須主動收集資訊、分析風險、評估合規要求，確保決策建立在充分知情的基礎上。例如：導入新系統前進行資安風險評估、併購前審查對方的資料保護實務、簽約前調查供應商的安全認證。未執行盡職調查即視為疏忽，在法律上可構成管理層的過失責任。簡言之，Due Diligence 回答的是：「我們是否充分了解所面臨的風險？」

Due Care：決策後「做到」的責任

Due Care（應盡關注） 是知情之後持續採取正確行動的義務。管理層必須建立安全政策、部署適當控制措施、定期稽核、確保員工受訓，以保護組織資產。「合理謹慎人」標準（Prudent Person Rule） 是衡量基準：即在相同情境下，一位負責任的管理者應採取哪些行動。持續不作為即構成 Due Care 的違反，法院將據此判定組織責任。Due Care 回答的是：「我們是否持續做了該做的事？」

💡 核心辨析重點整理

• 時序不同：Due Diligence 在決策前，Due Care 在決策後持續執行。
• 本質不同：前者是「調查知情」，後者是「行動保護」。
• 法律意涵：兩者皆可作為訴訟中判定管理層是否盡責的依據。
• 互為依存：有調查無行動，或有行動無依據，皆不構成完整的法律保護。

結語

管理層的法律義務從不是單一行為。先盡職調查、後持續關注，才能在監管審查或訴訟中證明組織已善盡責任，真正實現治理層面的風險防護。

📚 參考文獻

1. (ISC)² — CISSP Official Study Guide，Security and Risk Management Domain，詳述 Due Diligence 與 Due Care 的法律框架定義。
2. NIST SP 800-53 — Security and Privacy Controls for Information Systems and Organizations，提供對應的控制措施實踐基準。
3. ISACA — CISM Review Manual，闡述資訊安全治理中管理層義務的實務應用。

⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。