九個齒輪咬在一起才叫一間公司：治理合規循環總複習

陳建國在泰國南部董里府（Trang）經營一間橡膠木家具外銷廠已經二十年，工廠有一百四十名員工，主力市場是歐洲和日本的家具通路。過去七個月，他照著顧問建議的順序，一講一講把公司的內控補起來：先搞定授權體系，再建三道防線，畫出合規義務清單，學會自己稽核，做出一張風險矩陣，最後把文件與紀錄的留存制度也上了軌道。每一項單獨拿出來看，他都覺得公司終於「像一間正經公司」了。

直到季度檢討會那天，財務長翻著報表，皺著眉頭說：「倉庫盤點，橡膠木半成品少了將近一批貨的量。」採購部說這一季完全沒有異常叫貨、驗收單一張張都齊；財務部說現金流正常、應付帳款也沒有異常付款；人資部只補了一句：「倉管上個月離職了兩個，都做很久了。」四個部門的報表，各自看都是綠燈，沒有人把這四張報表攤開來對過一次。

年底外部稽核師進場，花了三天才把倉儲入庫紀錄、採購驗收單、財務應付帳款三本帳勾稽起來，抓出問題出在交接處——不是任何一個循環的制度設計錯了，而是**沒有人負責檢查循環與循環之間的接縫**。這正是這門課最後一講要解決的事：九大循環不是九條各自獨立的生產線，是一台咬在一起的齒輪機，任何一顆齒輪自己轉得再順，只要跟旁邊那顆對不上齒，整台機器照樣卡料、漏油。

為什麼

COSO《內部控制—整合架構》（COSO Internal Control–Integrated Framework，1992 年首版、2013 年修訂）最核心的一個字就是「整合」（Integrated）。COSO 從來不是教企業把控制活動、風險評估、資訊溝通這些構面分開做，而是強調它們必須「彼此連動」——一個循環的產出，往往就是下一個循環的輸入。採購循環驗收完的數量，是資產／倉儲循環的入庫數量；銷貨循環開出的應收帳款，是資金循環要追的現金流；人資循環算出的薪資，同時要進資金循環撥款、也要進合規循環申報社保。這些交接處，正是舞弊和錯誤最容易鑽的縫——因為每個循環的負責人，通常只對自己那一段的數字負責，沒有人被賦予「跨循環對表」的職責。

國際內部稽核協會（The Institute of Internal Auditors, IIA）在 2020 年更新的《三道防線模型》（Three Lines Model）也點出同一個問題：第一道防線（第一線部門自我控制）、第二道防線（風控／法遵／財會的監督職能）通常都是「循環內」設計，各自守住自己的一段；真正能看見跨循環拼圖的，是第三道防線（獨立稽核）加上最上層的治理層（董事會／老闆本人的監督責任）。對中小企業來說，這意味著：治理合規循環不是第九條獨立的生產線，而是覆蓋在其他八條循環之上的「中樞神經」——它自己不生產、不採購、不發薪水，它的工作就是確保八個循環之間的訊號對得起來。