Internal Audit

Blog

Internal Control Systems : Born With Flaws ( Part 1 )

2011-11-09

Many corporations don’t respond to external changes and fail to review their internal control system accordingly in a timely fashion. 內控機制的先天缺陷 – 無法即時因應營運上之調整）許多公司未及時因應環境的改變檢討內部控制制度。內部控制制度並非一旦經過初次的設計、建立後便可高枕無憂，不論是內在外在環境的改變都會使現有的內部控制制度出現瑕疵，所以隨時檢討並且調整公司現有的內部控制也是不可輕忽的一環。許多上市櫃公司的內部控制制度是為了配合公開發行或是上市櫃申請而設計，在達到公司的目的之後可能就因為人力成本問題或是管理階層對內控的重視程度使內部控制制度無法及時更新，縱使書面控制制度部分有依照法規加以修改，可能在實際流程上仍未配合改善，致使書面內部控制制度流程與實際運作流程不符。內部控制制度如果沒有跟著環境條件的改變而作出應變，將會帶來很多的衍生的問題，以下會舉例讓各位容易理解。在舉例之前先解釋一下銷售模式及授信條件：銷售模式可以大概分成兩種，B2B(business to business)與B2C(business to customer)，前者是指公司行號間的生意往來，後者則是指公司行號與一般消費者的交易模式。B2B與B2C的最大差別在於兩者著重的發展策略並不相同，前者著重企業間網路的建立與供應鏈體系之穩固；後者則必須倚靠規模經濟，吸引購買、降低售價來增加利潤，發展策略大不相同。授信條件是一種風險控制的手段，是根據交易往來對象的信用情況來決定交易相關細節必須如何訂定。商業交易當中付款期間(payment term)與授信總額是最常見的兩種授信條件。企業間往來的情況，通常買家會要求賣家有先出貨的義務，出完貨後過了一段時間才結清貨款，在出貨後到買方真正付清或款之間的時間就是所謂的付款期間。授信總額則是賣方的生產線在特定的時間內可以接受買方多少額度的訂單，雖然說賣方通常希望可以將產能發揮到極致，訂單當然是越多越好，但是有時候還是必須考量交易往來對象的財力與信用，試想，如果一家資本額兩百萬、信用狀況不良的公司在短時間內提出高達一億元貨款的訂單而且還要求出貨兩個月再付款，這個生意可能就不會有人要做。例子1，台灣的A車廠專門生產私家轎車，交易往來對象都是租車公司，專門銷售其所製造的汽車給這些租車公司。無奈景氣寒冬的降臨，大部分的合作對象不是關門大吉就是轉往海外發展，經過考慮A車廠決定要由B2B轉型成B2C的銷售模式，銷售模式一旦改變授信條件也必須會跟著改變，以前出貨給租車公司是有兩個月的付款期間，賣車給一般消費者則是付現或是由銀行貸款給消費者，相關的內部控制作業就必須跟著改變，但是負責內部控制作業的內部稽核人員並不一定即時了解此變革，其沿用B2B的銷售模式將會導致貨款無法立刻收到。例子2，B車商本來從事的就是B2C的銷售模式，但是由於經濟不景氣使得本來靠付現或是向銀行貸款買車客人人數大幅下降，連帶影響B車商的生計。車商為了生存只好祭出優惠方案，一台80萬的車只要付頭期款3萬元，剩餘77萬的金額以零利率分期付款每個月一萬元的方式來清償，附上77萬元的本票以及信用卡扣款授權書就可以將新車開回家。如此一來，B車商的銷售模式與授信條件都與本來不同，內部稽核人員就必須要去追蹤該買車顧客的信用情況是否良好，有無破產情況或是退票紀錄，若有則不能使用此優惠專案，這就是授信條件的控制。但是要做出這樣的追蹤作業的前提也是：內部稽核人員即時得知此優惠專案之推出而作出應變，否則一樣會有原有內控制度與現行銷售模式脫軌的情形發生。

Internal Controls: Understaffed

2011-10-31

Another problem in internal control practices is that they often exist to keep up the appearance. The department of internal control exists only for compliance’s sake. 實務上最常見的另一個問題就是內部控制制度流於形式，淪為一個僅僅為了符合法律規定而存在的編制。由於管理階層對於內部控制制度的不重視，造成公司不願花費成本聘請太多內部稽核人員，而使一個人員須負責超過其負荷量的業務，稽核品質可想而知。在有分公司的情況下，一位總公司的稽核人員除了要負責數個業務單位之查核工作外，還要外加每個月出差至公司其他營業據點或應受查單位從事查核工作，從事相關工作的稽核人員根本不可能深入了解所轄查核業務的內外規以及實際運作的全貌，外加分公司人員由於自身業務忙碌、怕麻煩或其他自身利益之考量，往往不願意全力配合調查或是提供完整資料，而最後稽核人員迫於時限壓力，還是得交出稽核報告以及查核明細表，在這種工作底稿都未能完整取得之前提條件下，內部稽核的高調唱得再響，實際上也歸於枉然。 1. 請參行政院勞工委員會，職業類別薪資調查報告，民國95年6月。 ↩

Internal Auditing Staff Unqualified

2011-10-28

Guess what’s the average salary for an internal auditor? And what’s the reasonable salary for the position? 請讀者猜猜看稽核人員的平均月薪資是多少？再請讀者猜猜看，要找到真正適任的稽核人員（適任之標準請參考以下說明）合理的月薪又是多少？由於稽核人員之日常作業其獨立性很高且必須獨立就受查單位完成稽核報告（或初稿），所以公司裡面的稽核人員不能只有少數一兩位，而是應該要每一個稽核人員都要具備以下的專業能力與人格特質。最理想的稽核人員必須具備之專業能力有幾大面向1 (1) 學經歷與專業證照內部稽核是一個跨領域的工作，而且內部稽核人員又必須時常應付多變的環境，教育程度是一個稱職的稽核人員不可或缺的基礎條件。另外，越來越多的企業在僱用內部稽核人員時會要求相關的專業證照如內部稽核師、電腦稽核師及會計師等。 (2) 超然獨立與積極態度內部稽核人員由於其肩負發現組織缺失並且改善的職責，必須具備正直的人格，而且維持其超然之獨立性，這兩點都對於稽核部門的整體工作品質有非常大的影響，所以稽核人員執行職務必須勿枉勿縱並且不受威脅、利誘。當然，內部稽核單位在組織當中的地位越高，越容易維持其獨立性。 (3) 公司營運流程及知識內部稽核人員既然必須查核企業內的各種活動是否按照既定計畫執行，當然必須對企業內的所有營運流程有相當廣泛且深入的認識，包括企業政策、文化、環境及整體營運流程，否則將無法勝任此工作。 (4) 溝通協調與人際關係內部稽核部門需要有良好的溝通能力。有良好的溝通能力才能與受稽核的單位建立互信、無衝突的夥伴關係，有助於內部控制制度上缺失的發現與改善，除此之外內部稽核單位與管理階層及董事會間溝通也須仰賴良好溝通技巧，方能使上級即時接收企業內的制度缺失並且予以改善。 (5) 稽核相關專業知識及技能審計、法規、財務、會計、資訊科技都是內部稽核人員從事職務時需要具備的相關專業知識。 (6) 充分的語文能力內部稽核人員也必須具備相當專業程度的外國語文能力，原因是其必須查核的文件當中有許多是外文文件如英文、日文，包括跟國外客戶往來的契約、訂單以及國外律師、會計師以及主管機關所往來之信件公函等，方能確定受查單位的業務均符合公司的內部控制制度。除了上述的能力之外，還必須有誠實、公正、客觀之人格特質，才能徹底執行企業內的相關稽核業務而不會受到他人威脅、利誘而放水；也要具備企業當中潛在犯罪者之心態，知己知彼才能百戰百勝，在弊案發生前就予以制止，預防勝於治療。根據行政院勞委會的薪資統計資料，內部稽核人員的平均月薪為六萬多2元，讀者認為這樣是否能請到符合上述條件的內部稽核人員，又如果真的有具備這些條件的人最好的出路是否是出任企業的稽核人員？

Internal Data not Accessible and Bad Executions

2011-10-26

According to the “Code of Internal Controls System Establishment for Public Traded Companies”: Public traded companies should review the effectiveness of its internal controls system annually. 根據「公開發行公司建立內部控制制度處理準則」之規定1，公開發行公司應該每年自行檢查內部控制制度執行的有效性，內容必須涵蓋所有的內部控制制度，同時公司本身要訂出一套內部控制制度自行檢查作業之程序與方法，將檢查結果製作成內部控制聲明書之後呈報主管機關備查。根據實證研究報告所蒐集之問卷指出2，在這個「內控自評」之過程當中，內部稽核單位會遇到的困難除了前述所提及的人力不足、資源有限之外，還會出現公司內部機密資料不易取得、資訊運用欠缺的問題。讀者或許會納悶，公司內部的稽核部門，或是其他部門如業務、行銷部門既然都同屬一家公司，理應容易取得其他部門的資料才是，又為何會有此種所謂「內部機密資料不易取得」而無法稽核的情況呢? 事實上，不難想像在一家頗有規模的公開發行公司當中，各個部門各司其職，而且在資料的管理上也是分由各種不同部門負責，而通常內部稽核部門因其職責所在，容易被其他部門視為找麻煩的部門，如果內部稽核部門不受到管理階級如總經理、董事長的大力支持的話，其他部門當然不會願意提供稽核部門真正所需要的資料，畢竟，沒有人會願意自接瘡疤的。如果沒有相關的業務資料及文件，也會造成內部稽核人員的工作內容無法受到監督，內部稽核單位的工作是監督、查核各單位的業務，而內部稽核人員本身也必須受到董事會的的監督3，但是如果內部稽核人員所繳交的稽核報告當中都沒有各業務單位的原始資料、證據，董事會根本無法監督其工作內容，內部稽核單位有沒有認真執行任務不得而知。如此一來，得不到應有的資料根本無法確實稽核相關業務，也無法再被董事會監督4，內部稽核報告內未附工作底稿及相關資料是一個實務上常見的缺失，必須受到企業經營者的重視。 1. 請參「公開發行公司建立內部控制制度處理準則」第22 條。 2. 參吳清在，陳錦烽，台灣公開發行公司內部控制制度自行檢查實施成效之調查與分析，內部稽核季刊，96年9月，23頁。 3. 依據「公開發行公司建立內部控制制度處理準則」第11條，公開發行公司應設立隸屬於董事會的內部稽核單位。 4.

How American Corporations Practice Internal Controls

2011-09-15

To encourage companies to adopt pratical compliance policy, U.S government revised the Federal Sentencing Guidelines in 1991. The revision included the sentencing guidelines for organised crime. 美國為敦促公司採取具體的法令遵循規範，以降低其違法之風險，於1991年修訂了「聯邦裁罰綱領」，加入組織犯罪部份之裁罰準則。其並未強制公司必須實施何種法令遵循計畫，而是以提供法定之經濟上誘因，如罰鍰額之降低或加重、董事責任之免除等，使公司願意自行投入資源設計並執行法令遵循計畫。縱然企業不慎違法，只要其有設計並且有效執行法令遵循計畫，就可以得得減輕處罰之優惠。公司所設計執行的法令遵循計畫必須要具備某些條件，方能被視為有效，基本上必須採取以下7個步驟：標準程序之建立：該組織必須建立一套法令遵循之標準及程序，使員工與其他代理人能夠據以合理降低觸犯法令之可能性。遵循主管之指派：公司必須指派特定之高級主管，授予其蓋闊之權限，以監督企業是否有確實遵循上述法令遵循之標準及程序權責主管背景查核：各該組織必須採取妥適之注意，不得對該組織有犯法傾向之員工授予重大裁量權。全體員工需知悉：各該組織須已採行步驟，將其法令遵循之標準及程序有效的通知全體員工及其他代理人，例如要求參予訓練計畫，將所要求之事項從實際之角度加以解釋並做成公告散布。監控稽核須有效：各組織必須已採取合理之步驟以達成對其所設定標準之遵循。例如：採用在合理範圍內能夠肫查其員工及其代理人觸犯刑事犯罪行為之監控稽核系統，或設置並公佈一套查報系統，使喁供及其他代理人能將組織內他人觸犯刑事責任之回報與組織，而無庸畏懼將招致報復。懲戒機制須適當：該組織之法令遵循標準必須已經平等一致的透過適當懲戒機制強制執行。該機制包括對於職務上應查報違法狀況而未查報之員工進行懲戒。對於職務上應就該違法情況負責之員工所為之適當懲戒亦屬強制施行之必要部份。所謂適當之懲戒應依個案判定。違法情況之處理預防：在某種違法情況被查知後，該組織必須已採取一切合理之步驟以妥適面對該種情況，並防止將來類似情形再發生。其所採取之一切合理步驟，包括對其法令遵循計畫之所有必要之修改，以預防並偵知違法情況。在罰金的計算方面，首先法院會以弊案發生後受害人之金錢損失、被告的金錢所得與根據分析「違法層級表」所得出之罰金等幾個因素來決定一個基本的罰金數額，罰金數額最低是5千美金最高則是7千2百萬美金。除此之外，聯邦裁罰綱領會採用一個增加或是減少罰金數額之機制，稱為「苛責分數」（Culpability Score）。苛責分數越高則基本罰金數額會以倍數成長；反之基本罰金數額則會予以折扣。影響苛責分數的因素分成增加與減少兩種，要是企業本身有建立有效的法令遵循計畫、當有違法時主動揭露、通知主管機關並配合調查、不逃避責任等都可以減少苛責分數而獲得罰金之減免。反之，有些因素也會增加苛責分數，組織大小（越大越增加）、高階人員之涉入、先前的犯罪歷史與阻礙司法。「苛責分數」的高低在最後計算罰金時將會決定基本罰金所乘以的倍數，最高可以乘以4倍，最低則可以乘以0.05倍。也就是說，配合剛剛的違法層級表，法官可以在最低250美金與最高2億9千萬美金間來決定當企業違法時該罰多少。正因為罰金的數額可以有如此龐大的差距，提供企業好好執行法令遵循計畫之經濟上誘因23。聯邦裁罰綱領當中有許多關於法令遵循計畫的具體實施方法，但是仍然少了關鍵的一點－「讓能夠判斷有無違法之餘的相關專業人士再第一時間得以接觸重要資訊」。相關人士無法第一時間得知有問題發生，那當然無法立刻舉報給主管機關。聯邦裁罰綱領關於法令遵循的這幾個要件都是經過精心考量，以減免刑罰之方式促使企業自己做法令遵循計畫也是別出心裁，卻仍然無法打造出一個完全滴水不漏的法令遵循制度，因為基於人性或是實務面這都是強人所難、幾乎不可能的任務。所以在制度之設計上除了事前之預防之外，事後的追蹤也必須強調，而且這套制度一定是必須簡便易行不會造成企業過多之負擔。畢竟企業內員工之精力與時間是稀有資源，有效的法令遵循計畫最好也不要排擠到其他的企業重要事項。關於裁罰級距與苛責分數之訂定與適用，我國行政院公平交易委員會曾經在1998年首次導入，公佈行政院公平交易委員會裁處罰鍰額度參考表及適用說明，並於1999年生效施行4。但是因為設計上未臻妥適，而且適用上屢次以承辦人員主觀凌駕其客觀標準，所以經常成為行政法院撤銷其處分之依據，公平交易委員會在惱羞成怒之餘在2006年將其廢止5。參考資料：