據旺宏週五寄給模組廠的服務簡報，以及工研院（ITRI）協助對標的驗證範本，旺宏國際擴大付費稽核計畫，追溯出口用 NOR flash 的 secure-boot 簽章金鑰，將晶圓批證書與 ODM 測試台日誌配對——歐日客戶愈來愈要求此證明。此舉非新製程微縮，而是合規基礎設施，供出貨閘道器、表計與醫療周邊、須證明韌體未在工廠與海關之間被掉包的製造商使用。
交付了哪些產出
旺宏交付簽章稽核包：批系譜、燒錄站 ID、bootloader 影像雜湊清單，以及量產前燒錄的開發金鑰撤銷名單。模組廠上傳 CMSIS-Pack 或廠商 SDK 版本；旺宏新竹實驗室在樣品 die 上重跑燒錄腳本，並比對客戶 golden build 簽章。
評估卡列出金鑰輪替演練的通過與否、名目電壓下的 glitch 抵抗——非完整侵入式實驗室認證，旺宏明確排除於基礎層級外。
宣稱與買方可查項目
出口客戶可不靠行銷簡報，驗證 SHA256 鏈與時間戳站點日誌。僅憑稽核包無法證明 ODM 稽核後載入未簽章 debug 影像的 runtime 完整性——旺宏合約將該責任放在模組廠變更管制流程。
稽核者可重跑：在供應樣品上重現燒錄、嘗試降級至已撤銷金鑰、比對批號與報關發票。仍不透明的是旺宏內部與安全無關的良率報廢率。
誰握有話語權
旺宏掌控 flash 矽與參考燒錄器；ODM 掌控最終組裝與誰碰 JTAG。品牌方掌握出口方案驗收權——無其簽核，稽核包只是紙本。歐洲買方加嚴 RED 網安條款，推動臺灣模組採追溯；旺宏在 commodity NOR 之上 monetize 服務層。
簡報承認的限制
稽核範圍僅涵蓋旺宏供料——混用競爭 flash 的 BOM 需另辦廠商計畫。無線協定堆疊與雲端憑證不在範圍。每 SKU 週期二至三週；季末出口高峰加收急件費。
何種情況會使稽核失效
若 ODM 跨客戶共用量產金鑰，某一 SKU 的乾淨旺宏稽核無法保護共用同一 compromised 金鑰庫的另一產線。旺宏要求 per-customer 金鑰隔離 attestation；違反即作廢稽核 seal。
競爭格局
Winbond 與 GigaDevice 亦供類似 flash；旺宏訴求臺灣實驗室 proximity 與國語現場工程師，服務新北與台南 SME 模組廠。雲端「數位產品護照」新創競爭軟體；旺宏賭 fab 與報關行仍要矽供應商紙本。
模組廠下一步
三家模組廠——智慧表計、農業感測、POS 周邊——排定十月稽核，因應歐盟零售商安全問卷。旺宏將公布稽核失敗型態 aggregate 統計但不點名客戶——Priya Sharma 編輯台關注此透明化，因它把簽章衛生變成可計費項目，而非簡報腳註。
台灣半導體產業協會（TSIA）出口合規工作小組將旺宏稽核包列為會員向布魯塞爾貿易辦公室簡報的範例附錄；屬指引，非法規。
2337.TW 週一平盤；投資人敘事仍由 NOR flash 周期主導，但旺宏希望 OEM 在 spot 價軟化時聽見服務毛利故事。
經濟部國貿局今夏研討強調韌體追溯是 EU 零售標案的軟性門檻；旺宏稽核 seal 是廠商答案之一，非政府強制。未稽核的模組廠仍可出貨，但採購官愈來愈在 PO 續約附安全問卷。
工研院安全 IoT 實驗室提供 benchmark 腳本供旺宏鏡像；偏差須在稽核包書面說明，供買方在下游 breach 時保有紙本軌跡。
高雄小型模組廠稱稽核費在百萬美元以下出口線上占比顯著，但比因未簽章 boot 影像失去 EU 經銷商便宜。旺宏對同批多 SKU 稽核提供 bundle 定價——鼓勵單一產品世代標準化單一 flash 供應商。
出口保險開始詢問模組是否帶旺宏稽核 seal；缺 seal 不使保單失效，但可能拉長首次 EU 出貨的核保問卷。
