循环体检:一张自查表,揪出支出循环的所有破口

陈文彬在泰国北榄府(Samut Prakan)经营一家五金建材批发行"文彬建材",员工二十五人,客户多是曼谷周边的建筑承包商。过去七讲,他把采购黑洞、请购签核、比价存档、验收三对齐、发票入账、付款排程、舞弊征兆这七个环节都一一补强过——每个环节看起来都"有制度了"。

三月,一家日本商社找上门,想谈代理合作,对方派了两位稽核人员做尽职调查(due diligence),第一句话就问:"可以给我们看贵公司的内控自评报告和授权权限表吗?"陈文彬愣住了——他有请购单范本、有三家比价记录夹、有验收签收单、有进项发票归档夹,但从来没有一张"总表",能一眼证明这七个环节环环相扣、没有死角。

那个周末他把七家分店的单据摊开来对,才发现破口:曼谷分店的验收单没有附比价记录;北柳分店的店长曾经自己核准过一笔超过他权限三倍的紧急付款,理由写"客户等着要",却没有补签核;还有两张采购金额卡在请购门槛正下方,像是刻意拆单规避签核。七个环节"个别都做了",但没有人定期把它们串起来看,漏洞就藏在接缝处。

为什么

这正是很多中小企业内控失灵的典型模式:老板针对"出过事"的环节个别补洞,却没有定期把整条循环摊开来检查。COSO(美国反舞弊财务报告委员会发起委员会)在1992年提出、2013年更新的《内部控制——整合框架》里,把内控拆成五个要素:控制环境、风险评估、控制活动、信息与沟通、监控。前四个要素大多数老板或多或少都做了(订规则、看风险、签核、留记录),但最容易被忽略的正是第五个要素——监控(Monitoring):定期检查制度本身有没有被落实、有没有随着公司变大而失效。

国际内部审计师协会(IIA)在2020年提出的"三道防线模型"(Three Lines Model,前身是2013年的Three Lines of Defense)也点出同样的问题:第一道是业务部门自己把关(采购、验收人员),第二道是财务或管理层复核,第三道是独立审计定期抽查。中小企业通常没有专职审计室,于是"监控"这一层直接消失——老板若不自己扮演第三道防线,制度就只剩"写在纸上"而没有人验证"有没有做到"。授权表(authorization matrix)正是把"谁能核准什么金额"白纸黑字写清楚,让监控有一个可以对照的基准,而不是靠记忆或人情判断谁该不该签。