核准与发放：你签的不是名字，是公司的钱

春武里府（ชลบุรี）有一家做进口建材批发的公司，老板陈老板每个月25号都固定做一件事：坐在办公室里，把HR「Nid」打印出来的薪资明细表从头签到尾。四十多个员工的姓名、金额，他大概花十分钟签完，盖章，交回财务转账。这个动作他做了六年，从没出过事——直到那一年年底盘点薪资科目，会计师抽查发现，有一名三个月前就已经离职的仓管人员，账上还在持续领薪水。

追查下去才发现，离职那个月Nid确实把人从花名册里移除了，但薪资系统里的「银行转账清单」是另外一张表，没有同步更新。三个月，三笔钱，就这样从陈老板眼皮子底下签出去了。他后来苦笑说：「我每个月都有签名啊，怎么会没看到？」问题就出在这里——他确实签了，但他签的这个动作，跟「真正看懂自己在签什么」，是两码事。

核准（审批）与发放是薪资循环的最后一道闸门。前面员工建档、考勤记录、薪资计算做得再严谨，如果最后这一关只是走个签字流程，钱照样会从漏洞里流出去——而且往往是流出去最久、金额最大的那种漏洞，因为没有人在最后把关。

为什么

在内部控制的语境里，「核准」不是礼节性的签字，它是COSO《内部控制—整合框架》里明确定义的一种「控制活动」——通过有权责的人，在资源真正流出去之前，对交易的合理性做一次独立判断。它跟前面的编制环节，必须是两种不同的把关动作，这就是「职责分离」（Segregation of Duties）的核心逻辑：编表的人不该同时是审批的人，审批的人也不该是实际打款的人。

为什么要拆开？因为犯罪学者唐纳德·克雷西（Donald Cressey）1953年提出的「舞弊三角」理论早就讲清楚了：一个人要动歪脑筋，需要同时具备「机会」「压力」「合理化理由」三个条件。中小企业最常见的漏洞，就是把「机会」这一块留得太大——同一个人从头管到尾，没有人交叉核对，机会就在那里等着被利用，哪怕HR完全没有恶意，一个系统性的疏漏也足以让公司持续失血。

国际内部审计师协会（IIA）2020年更新的「三道防线模型」（Three Lines Model）把这个逻辑讲得更完整：第一道防线是部门自己的日常管控（HR编表时的自我核对），第二道防线是独立于编表之外的审批与复核（老板或财务主管签核前的实质审查），第三道防线则是定期审计（内部审计或外部会计师抽查）。多数泰国中小企业的现实是：第一道防线常态存在，第二道防线沦为形式，第三道防线几乎不存在——一旦第一道防线出现疏漏，就没有任何机制能拦住它，直到年度盘点才被动发现。