Internal Control

Blog

Internal Control in Practice – Preface

2011-12-29

In recent years, there has been series of local and international scandals. Whether it’s for the faulty operation, embezzlements, or wrongful financial reports, the news has caused investors to bleed and lose faith and create turmoil in the financial market.

Lee & Li Attorney-At-Law Embezzlement Case (Part 1)

2011-12-27

In October, 2003, The largest law firm in Taiwan was facing the biggest crisis ever happened since its birth. Eddie Liu, an employee of Lee & Li, had made unauthorized sales of stocks, transferred the fund into his account, and

Lee & Li Attorney-At-Law Embezzlement Case (Part 2)

2011-12-25

To further look into Lee & Li’s case, it is obvious that the root of the problem is the documents regarding all the transactions. 如果更詳細深入探討理律案，我們可以發現在上篇所述問題的癥結點其實就是理律案相關交易中的文件。理律根據前述華僑及外國人投資證券管理辦法的相關規定代理美商新帝公司來做國內股票的買賣事宜，依約定理律需在中信證券以及彰化銀行開設證券及現金帳戶來處理新帝公司之股票，理律將此事全權交由劉偉杰處理，並且將存摺及印鑑都交由其保管，劉偉杰另外私自在亞洲證券及國泰世華銀行開設另一組帳戶作為私自操作之用。而開設相關帳戶會有存摺，如證券帳戶以及現金帳戶的存摺，每一次的交易紀錄會記錄在存摺之上，比如說劉偉杰提領、轉存現股至私人帳戶的行為、賣出股票的行為、將款項匯至國外帳戶的行為，這些交易行為都需要有美商新帝公司的授權書證券商及銀行才會核准辦理，因為劉偉杰擁有美商的印鑑所以可以偽造全權授權書來騙過銀行做出這些相關操作。前面另外開設私戶也是使用偽造的授權書。存摺跟授權書是本案當中的問題所在。理律遲至事後交接才發現弊案，原因是理律本身對於這兩樣文件沒有適當的掌握與控管，連帶的對於這兩者文件上面所承載的重要交易資訊也都無法即時知悉，遑論做出應有的應變，可以說是資訊不充分、不完整而造成的疏失。在這個案件當中，上級完全信任劉偉杰所以將相關交易所需的印鑑、存摺皆交由其保管，所以劉偉杰能在不被任何人監視的情況下完成提領股票至其私人戶投並與轉賣、匯款至國外的諸多行為而不被發現。在事後工作交接給其他同仁的時候也故意不附上某些重要的交易資料意圖隱瞞。理想的內部控制方式應該是將劉偉杰所負責的工作交由另一個高階主管與劉偉杰共同處理，而且在任何需要的交易文件上面都必須由該主管與劉偉杰共同用印，而用印之同時該主管必須將該文件予以保存、建檔，確保相關交易資訊可以隨時被掌握與監督，當然這些文件紀錄不能被竄改或刪除，如此一來縱使有人心懷不軌也可以經由明確的紀錄及時發現及制止，預防弊案之發生與擴大。理律案，小筆記在理律劉偉杰到賣股票案當中，金額高達三十億的案件竟然只由劉偉杰一個人全權負責，沒有人負責稽核，而他利用上司對他的信任大大方方的把客戶所有的股票據為己有賣的一乾二淨，從容不迫的拿假護照出境離開台灣，等到理律發現的時候早就在某處高興的數鈔票了！ 1. 企業當中的重要業務如果只交由一個員工來負責處理，會產生很大的風險，應該盡量交由多人共同辦理。 2. 內部控制本身有許多環節，文件的管理是其不可或缺的核心部分。

Internal Controls Cannot Prevent Executive Fraud ?

2011-11-16

Chairwoman of Procomp had constantly made fake transaction with BVI to boost its financial reports. The internal staff might had been reluctant to disclose the criminal activities, but the accounting firm which approved all financial reports should have been able

Five Components of Internal Controls

2011-10-04

Besides the three objectives, The COSO report also covers the five interconnected factors that constitute internal controls systems, which are control environment, risk assessment, control activities, information and communication and monitoring. （一）控制環境 COSO報告除了三大目標之外還提出了組成內部控制制度、彼此互相關聯的五大要素，分別是控制環境（control environment）、風險評估（risk assessment）、控制活動（control activities）、資訊與溝通（information and communication）及監督（monitoring）。內部控制制度既然是在一家企業內被執行，那麼這控制環境當然就是指這家企業本身，但是這環境不是在說這家企業的內部裝潢是否富麗堂皇、有沒有設置無線網路等硬體設備，換句話說，控制環境所注重的是這家企業內部的「氣氛」如何，員工都是在一種什麼樣的氛圍下從事他們手上的工作。比如說，如果公司高層將「誠信經營」作為最高準則，員工在耳濡目染的情況下發生弊案的機會就比較低；而當高層都想盡辦法、不擇手段的獲取自身的利益時，又要如何期待員工奉公守法的執行職務？控制環境是塑造組織文化、影響員工執行控制制度成效的綜合因素。員工的操守、價值觀及能力、經營者的經營風格及管理哲學、董事會及監察人的關注及指導都是影響控制環境的因素，這些因素共同作用而形成了公司內部的控制環境。控制環境的良窳會影響企業經營者的其他內部控制活動，所以也是其他四大要素的基礎。

How American Corporations Practice Internal Controls

2011-09-15

To encourage companies to adopt pratical compliance policy, U.S government revised the Federal Sentencing Guidelines in 1991. The revision included the sentencing guidelines for organised crime. 美國為敦促公司採取具體的法令遵循規範，以降低其違法之風險，於1991年修訂了「聯邦裁罰綱領」，加入組織犯罪部份之裁罰準則。其並未強制公司必須實施何種法令遵循計畫，而是以提供法定之經濟上誘因，如罰鍰額之降低或加重、董事責任之免除等，使公司願意自行投入資源設計並執行法令遵循計畫。縱然企業不慎違法，只要其有設計並且有效執行法令遵循計畫，就可以得得減輕處罰之優惠。公司所設計執行的法令遵循計畫必須要具備某些條件，方能被視為有效，基本上必須採取以下7個步驟：標準程序之建立：該組織必須建立一套法令遵循之標準及程序，使員工與其他代理人能夠據以合理降低觸犯法令之可能性。遵循主管之指派：公司必須指派特定之高級主管，授予其蓋闊之權限，以監督企業是否有確實遵循上述法令遵循之標準及程序權責主管背景查核：各該組織必須採取妥適之注意，不得對該組織有犯法傾向之員工授予重大裁量權。全體員工需知悉：各該組織須已採行步驟，將其法令遵循之標準及程序有效的通知全體員工及其他代理人，例如要求參予訓練計畫，將所要求之事項從實際之角度加以解釋並做成公告散布。監控稽核須有效：各組織必須已採取合理之步驟以達成對其所設定標準之遵循。例如：採用在合理範圍內能夠肫查其員工及其代理人觸犯刑事犯罪行為之監控稽核系統，或設置並公佈一套查報系統，使喁供及其他代理人能將組織內他人觸犯刑事責任之回報與組織，而無庸畏懼將招致報復。懲戒機制須適當：該組織之法令遵循標準必須已經平等一致的透過適當懲戒機制強制執行。該機制包括對於職務上應查報違法狀況而未查報之員工進行懲戒。對於職務上應就該違法情況負責之員工所為之適當懲戒亦屬強制施行之必要部份。所謂適當之懲戒應依個案判定。違法情況之處理預防：在某種違法情況被查知後，該組織必須已採取一切合理之步驟以妥適面對該種情況，並防止將來類似情形再發生。其所採取之一切合理步驟，包括對其法令遵循計畫之所有必要之修改，以預防並偵知違法情況。在罰金的計算方面，首先法院會以弊案發生後受害人之金錢損失、被告的金錢所得與根據分析「違法層級表」所得出之罰金等幾個因素來決定一個基本的罰金數額，罰金數額最低是5千美金最高則是7千2百萬美金。除此之外，聯邦裁罰綱領會採用一個增加或是減少罰金數額之機制，稱為「苛責分數」（Culpability Score）。苛責分數越高則基本罰金數額會以倍數成長；反之基本罰金數額則會予以折扣。影響苛責分數的因素分成增加與減少兩種，要是企業本身有建立有效的法令遵循計畫、當有違法時主動揭露、通知主管機關並配合調查、不逃避責任等都可以減少苛責分數而獲得罰金之減免。反之，有些因素也會增加苛責分數，組織大小（越大越增加）、高階人員之涉入、先前的犯罪歷史與阻礙司法。「苛責分數」的高低在最後計算罰金時將會決定基本罰金所乘以的倍數，最高可以乘以4倍，最低則可以乘以0.05倍。也就是說，配合剛剛的違法層級表，法官可以在最低250美金與最高2億9千萬美金間來決定當企業違法時該罰多少。正因為罰金的數額可以有如此龐大的差距，提供企業好好執行法令遵循計畫之經濟上誘因23。聯邦裁罰綱領當中有許多關於法令遵循計畫的具體實施方法，但是仍然少了關鍵的一點－「讓能夠判斷有無違法之餘的相關專業人士再第一時間得以接觸重要資訊」。相關人士無法第一時間得知有問題發生，那當然無法立刻舉報給主管機關。聯邦裁罰綱領關於法令遵循的這幾個要件都是經過精心考量，以減免刑罰之方式促使企業自己做法令遵循計畫也是別出心裁，卻仍然無法打造出一個完全滴水不漏的法令遵循制度，因為基於人性或是實務面這都是強人所難、幾乎不可能的任務。所以在制度之設計上除了事前之預防之外，事後的追蹤也必須強調，而且這套制度一定是必須簡便易行不會造成企業過多之負擔。畢竟企業內員工之精力與時間是稀有資源，有效的法令遵循計畫最好也不要排擠到其他的企業重要事項。關於裁罰級距與苛責分數之訂定與適用，我國行政院公平交易委員會曾經在1998年首次導入，公佈行政院公平交易委員會裁處罰鍰額度參考表及適用說明，並於1999年生效施行4。但是因為設計上未臻妥適，而且適用上屢次以承辦人員主觀凌駕其客觀標準，所以經常成為行政法院撤銷其處分之依據，公平交易委員會在惱羞成怒之餘在2006年將其廢止5。參考資料：

Sarbanes-Oxley Act

2011-09-14

From 2001 to 2002, after a series of false financial reporting and bankruptcy of many large corporations, to relieve the untrusting sentiment and pressure toward capital markets, U.S government drafted and passed a new version of corporate reform act: Sarbanes-Oxley

Fundamental Internal Controls Regulations for Corporations in China

2011-09-12

On June 28th, 2008, China released its first fundamental internal controls regulations and held the first internal controls summit. 中華人民共和國於2008年6月28日，由財政部、證券監督管理委員會、審計署、銀行業監督管理委員會以及保險監督管理委員會召開企業內部控制基本規範發布會及第一屆的企業內部控制高層論壇，在會議中發布了「企業內部控制基本規範」，此規範的根據法源是中國的公司法、證券法以及會計法。「企業內部控制基本規範」的內容與COSO所提出的內部控制研究報告有相當高的一致性，普遍認為此依規範的發布有助於中國與國際接軌，一方面可以為中國的企業築起一道防範企業弊案的防火牆，更有助於中國的企業走出中國，擠身國際企業之林，是中國企業內部控制制度規範的一個重大突破。「企業內部控制基本規範」預計於2009年7月1日起於中國的上市企業範圍內施行，並且也鼓勵非上市企業的中大型企業執行本規範的規定1。在這個基本規範當中除了提出與COSO報告雷同的內部控制定義、三大目標2與五大要素3之外，比較特殊的地方是這個規範還提出了內部控制的幾個大原則，本書將在接下來的部份簡單介紹一下這些原則。更重要的部份是，我們要把「企業內部控制基本規範」拿來與美國的沙賓法案做個比較，看看中國與美國在內部控制規範的部份是否有相同的規定。一、「企業內部控制基本規範」第四條提出的內部控制五大原則（一）全面性原則全面性原則所要表達的是，內部控制應該貫穿企業內部的所有流程，包括決策、執行監督等各種大小作業程序，而且還必須要涵蓋企業以及其所屬單位的所有業務及事項。（二）重要性原則全面性原則告訴我們內部控制必須全面存在於企業內的各種層級、單位、及事物，而重要性原則是在全面建立內部控制制度的基礎之上，去著重關注企業內重要的業務或是容易出差錯的高風險地帶。比如說財務報告的製作流程可能就是一個我們需要徹以執行內控的領域。（三）制衡性原則我們在設計企業內部的控制制度的時候，很重要的一個觀念就是要在各個內部單位的治理結構、機構設置、權責分配及作業流程等方面設計出相互制約、牽制的機制，同時並顧及到營運的效率，這就是制衡性原則。（四）適應性原則每一個企業的內部控制制度都不該是完全相同的，因為它們必須視每個企業不同的經營規模、風險高低、競爭狀況、業務範圍等來設計出合適的機制，當然也必須隨時因應各種外在、內在條件的改變來調整，適應性原則就是表達了內部控制的此種特徵。（五）成本效益原則成本效益原則是告訴我們，不管採取何種內部控制制度，我們都必須審慎評估實施的成本以及實施後能夠獲的效益。俗話說「殺雞焉用牛刀」，是否每一家企業都必須建立龐大的內部稽核單位或是引進動輒數百萬的企業資源管理系統？內部控制的建立必須要能夠用合理的成本支出來達到相當的內控效果，才是一個好的內部控制制度，如果說一個企業的內部控制制度反而會拖累本來的業務成效，那真的就是本末倒置了。二、內部控制制度自我評估報告根據「企業內部控制基本規範」第46條規定，企業應該要結合其企業內部監督的情況，定期對於其內部控制制度的有效性進行評估，並且出具報告。此要求與美國沙賓法案第404條有異曲同工之妙，皆要求企業應該要提出內部控制制度的評估報告，促使企業建立適當的內部控制制度。三、內部控制制度建立及實施過程資料之保存文件的管理對於企業來說是很重要的，這一點在「企業內部基本規範」中再度獲得證實了，在本規範的第47條規定到，企業應當以書面或其他適當的形式來妥善保存企業建立與實施內部控制過程當中的相關記錄或資料，確保內部控制建立與實施的可驗證性。我們可以這樣理解，建立與實施內部控制過程中的資料都要妥善保存，而且內部控制涵蓋的範圍又廣泛包含整個企業，換句話說，就是整個企業內的文件都必須要有妥善的管理制度才行。中國大陸在文件方面是課予企業妥善保管的責任，而前述美國沙賓法案第802條則是對於竄改文件紀錄的人給予嚴厲懲罰，兩條規定雖然內容規定有一些出入，但是不難看出兩者對於企業內的文件的重視程度。四、舉報人投訴及舉報人保護制度所謂的舉報人投訴及保護，其實就是我們所說的檢舉人投訴及保護(美國稱之為吹哨者，前已提及)，企業運作如果發生舞弊或是錯誤，通常最先發現或得知的人一定是企業內部的人，也就是企業的員工，若能及早發現錯誤就可以即時防止弊案。另外，內部人提供的線索、企業內的文件也都是非常珍貴的事後調查資料。

Internal Controls and Compliance Regulations in Taiwan

2011-09-09

In Taiwan, Criteria for Establishment of Internal Control Systems by Public Companies is the most significant regulation regarding internal controls. 在台灣，最主要的內部控制規範是「公開發行公司建立內部控制制度處理準則」，本準則是依據證券交易法的規定授權，而由前主管機關「財政部證券暨期貨管理委員會」（現已改為行政院金融監督管理委員會）於民國91年11月18日所發布的，目前最新的條文則是於民國96年7月17日修正過後的版本。由於COSO報告與美國的沙賓法案對於全世界的影響力極為廣大深遠，我國當然也不可能置身事外而不受到美國的影響，大致上，我國內控處理準則的三大目標與五大要素都是符合COSO報告所提出的架構，為了因應許多企業弊案而生的沙賓法案也是我國規範的最佳參考對象。我國的內控處理準則並非如大陸一樣是以上市公司為施行對象，而是範圍稍微廣一點的公開發行公司1，而依據該處理準則的定義，內部控制是指：「由經理人所設計，經董事會所通過，並由董事會、經理人及其他員工執行之管理過程，其目的在於促進公司的健全經營，以合理確保下列目標之達成：一、營運之效果及效率。二、財務報導之可靠性。三、相關法令之遵循。」COSO報告的影響力可見一斑。雖然美、中、台的內部控制制度應是系出同源，下我們仍然想要從我國的內控處理準則裡面找出一些蛛絲馬跡，看看在一些重要的制度方面，台灣是否跟得上世界潮流？參考資料: 1. 首次辦理公開發行之公司必須建立有效的內部控制制度，並經會計師審查認為無重大缺失後才能申請公開發行。

Criteria for Establishment of Internal Control Systems by Public Companies

2011-09-07

【第伍章 – 台灣內部控制與法令遵循相關規範一】（一）控制作業「公開發行公司建立內部控制制度處理準則」第6條對於控制作業之定義是：「指設立完善之控制架構及訂定各層級之控制程序，以幫助董事會及經理人確保其風險回應得以被執行，包括核准、授權、驗證、調節、覆核、定期盤點、記錄核對、職能分工、保障資產實體安全、與計畫、預算或前期績效之比較及對子公司之監督與管理等之政策及程序。」而同法在第7、8、9條分別針對交易循環類型以及交易循環類型以外之重要控制作業作出相關規範。第7條則規定公開發行公司之內部控制制度應涵蓋所有營運活動，並應依企業所屬產業特性以交易循環類型區分，訂定相關之控制作業。而所謂以交易循環區分之控制作業，是指處理某一特定類型交易之控制政策及程序。實務上發現，若將企業內的內部控制制度畫分成幾個主要的交易循環，對於幫助企業設計相關之內部控制制度頗有助益1。而處理準則在第7條當中就有列舉8種交易循環，惟這交易循環的類型或是數量並非絕對，而是必須視企業的產業特性以及其日常實際營業活動自行調整之。目前實務上會計師幫企業設計的書面內部控制制度也是基於這些分類，這8種循環分別是： 1、銷售及收款循環此循環與訂單處理、授信管理、運送貨品或提供勞務、開立銷貨發票、開出帳單、記錄收入及應收帳款、銷貨折讓及銷貨退回、執行與記錄現金收入等之政策及程序相關。其主要內容包括：銷售預測與預算編製程序、銷售計劃編製程序、銷管費用預算編製程序及銷售事務處理程序等。 2、採購及付款循環此循環與請購、進貨或採購原料、物料、資產和勞務、處理採購單、經收貨品、檢驗品質、填寫驗收報告書或處理退貨、記錄供應商負債、核准付款、進貨折讓、執行與記錄現金付款等之政策及程序相關。其主要內容包括：資本支出預算編製程序、採購事務處理程序及營繕工程事務處理程序等。 3、生產循環此循環與擬訂生產計畫、開立用料清單、儲存材料、領料、投入生產、計算存貨生產成本、計算銷貨成本等之政策及程序相關。其主要內容包括：生產計劃編製、用料與購料預編製程序、直接人工預算編製程序、製造費用預算編製程序、存貨事務處理程序、生產事務處理程序及品管事務處理程序等。 4、薪工循環此循環與僱用、請假、加班、辭退、訓練、退休、決定薪資率、計時、計算薪津總額、計算薪資稅及各項代扣款、設置薪資紀錄、支付薪資、考勤及考核等之政策及程序有關。其主要內容包括：人力資源規劃程序及薪工事務處理程序。 5、融資循環此循環與借款、保證、承兌、租賃、發行公司債及其他有價證券等資金融通事項之授權、執行與記錄等之政策及程序有關。 6、固定資產循環此循環與固定資產之取得、處分、維護、保管與記錄等之政策及程序有關。 7、投資循環此循環與有價證券、不動產、衍生性商品及其他投資之決策、買賣、保管與記錄等之政策及程序有關。 8、研發循環此循環與基礎研究、產品設計、技術研發、產品試作與測試、研發記錄及文件保管等之政策及程序有關。除了上述各種交易循環類型之控制作業外，處理準則第8條還列舉了13種公司應注意之控制作業，分別是：印鑑使用之管理、票據領用之管理、預算之管理、財產之管理、背書保證之管理、負債承諾及或有事項之管理、職務授權及代理人制度之執行、資金貸與他人之管理、財務及非財務資訊之管理、關係人交易之管理、財務報表編製流程之管理、對子公司之監督與管理、董事會議事運作之管理。如果公司使用電腦化資訊系統處理者，還需要包含下列之控制作業2：資訊處理部門之功能及職責劃分、系統開發及程式修改之控制、編製系統文書之控制、程式及資料之存取控制、資料輸出入之控制、資料處理之控制、檔案及設備之安全控制、硬體及系統軟體之購置、使用及維護之控制、系統復原計畫制度及測試程序之控制、資通安全檢查之控制、向指定網站進行公開資訊申報相關作業之控制。（二）內部控制制度聲明書依據「公開發行公司建立內部控制制度處理準則」第24條之規定，首次公開發行的公司以及公開發行公司必須每年自行檢查公司內部控制制度設計及執行的有效性，並且於會計年度終了後四個月內在金管會指定的網站上公告申報內部控制制度聲明書，該聲明書必須先經董事會通過。內部控制制度聲明書在公司發布財務報導、公開發行說明書以及公開說明書時也必須附上。也就是說內部控制制度聲明書除了要公告申報在主管機關指定的網站上之外，在公司發布財報時、公開發行股票時或是發行新股來籌措資金的時，都必須要將內部控制制度聲明書附在交易的相關文件當中，讓交易相對人可以清楚得知這一家公司的內部控制制度是否完善，盡而仔細思考是否要投資這一家公司。如果公開發行公司沒有制訂書面的內部控制制度3、未依規定自行檢查內部控制制度或是出具內部控制制度聲明書，可能會遭受主管機關的限期改善，所以讀者們在建立自己公司的內部控制制度時不可不慎！（三）內部稽核工作底稿與相關資料之保存董事長跟經理人不可能對於公司內的大小事務都事必躬親，但是法律又課予他們建立並且維持公司內部控制制度的義務，所以公司內部當然需要有內部稽核單位4的設置來協助這些管理階層檢察內部控制制度的缺失以及衡量營運的效果與效率，一旦內控制度出現問題，內部稽核單位也必須提出改善的建議給管理階層5。所以內部稽核單位必須擬定年度稽核計畫並且徹底執行，並且檢附工臥底稿及相關資料，做成稽核報告。依據處理準則第13條的規定，內部稽核單位必須制定年度稽核計畫，而稽核項目之內容包羅萬象，包括公司取得或處分資產、從事衍生性商品交易、資金貸與他人、為他人背書或提供保證之管理及關係人交易之管理等重大財務業務行為之控制作業、對子公司之監督與管理、董事會議事運作之管理、資通安全檢查及第七條規定之銷售及收款循環、採購及付款循環等重要交易循環，而且年度稽核計畫當中的所有工作底稿與相關資料都必須保存至少五年。換句話說，公司內各種重要交易的有關資料都必須妥善保存一定的期間，事後如果有發生弊案時，有利於責任歸屬之釐清。（四）檢舉人的獎勵制度在「公開發行公司建立內部控制制度處理準則」中並沒有關於檢舉人檢舉的相關規定，但是我們可以在「台灣證券交易所股份有限公司證券市場不法案件檢舉獎勵辦法」當中找到獎勵檢舉人的規定。此辦法的第2條包含數種獎勵事件的範圍，像是檢舉違反證交法或是違反刑法的規定等，其中第5款則是有關內部控制制度的部份，只要是發現上市公司負責人或相關人員涉及違反法令、章程、內部控制作業程序、挪用公司款項、或掏空資產，有重大影響企業營運及股東權益之虞者，都是可以檢舉的對象。獎勵金額則是在十萬元至三百萬元新台幣之間。在「財團法人中華民國證券櫃檯買賣中心證券市場不法案件檢舉獎勵辦法」當中也有類似的規定，但是獎勵金額則是比較低的一萬元至一百萬元新台幣的數額。參考資料: 1. 參陳文彬，企業內部控制評估－兼論公開發行公司建立內部控制制度處理準則，2003年8月版，頁96。 2. 參「公開發行公司建立內部控制制度處理準則」第9條之規定。 4.

Compliance Regulations in Taiwan

2011-09-06

The three objectives of internal controls system are the effectiveness and efficiency of operations, ensuring the accuracy of financial reporting, and compliance. 內部控制制度的三大目標分別是營運的效果與效率、確保財務報導的正確性與法令之遵循，不管是美國的COSO報告或是我國現行的「公開發行公司建立內部控制制度處理準則」1都有著墨，本書在第四章也稍微的介紹過。其中「法令之遵循」是企業最容易忽略的一塊，但是其對於企業之營運重要性不亞於另外兩大目標。有鑑於法令遵循之重要性，本書在此便簡單介紹我國之相關規範。為什麼企業要遵守法令？企業不遵守法令會有什麼後果？原因無他，如果企業的營運活動有牴觸法令之情況，通常企業會受到許多的不利益，輕者可能罰鍰或賠錢了事，重者企業中的董事長、總經理、相關部門主管、承辦人等都可能被抓去坐牢，企業經營者不可不慎。依現行「公開發行公司建立內部控制制度處理準則」第24條之規定2，公開發行公司每年都必須出具內部控制聲明書，金管會並要求應由董事長、總經理簽名蓋章以示負責，確保公司自行檢查其內部控制制度之設計與執行成效（包括促進營運效果效率之內控制度、確保財務報導正確性之內控制度與確保法令遵循之內控制度。），內部控制制度聲明書除了必須於指定網站3公告申報之外，也要附在公司的年報與公開說明書當中，來對外公開，如果內部控制聲明書的內容有虛偽、隱匿等不法情事，公司的管理階層便會涉及證券交易法第20條、第20-1條、第32條、第171條與第174條的民刑事法律責任4。另依金管證稽字第09800097671號5所附之內控聲明書格式，公司在聲明其內部控制制度之設計與執行均有效時，關於法令遵循之部分公司可選擇要使用「主要法令列舉聲明」或是「全部法令均聲明」之聲明方式。「主要法令列舉聲明」是指出具此聲明之公司認為其內部控制制度可以確保該公司不會違反其已列舉出來的重要法令，對於其他的法令則不敢這麼肯定。「全部法令均聲明」則是指出具此聲明的公司認為其內部控制制度可以確保該公司不會違反所有台灣現行相關法令。為什麼本書要特別提及此兩種聲明的方式呢？筆者從公開資訊觀測站上面查詢各上市、上櫃或是公開發行公司的內部控制聲明書，發現幾乎所有的公司都是採取「全部法令均聲明」之聲明方式，這代表的意思就是，這些公司認為他們的內部控制制度可以確保公司不致違反台灣全部的現行法令，換言之，這些企業如果違反了台灣多如牛毛的法令當中的任何一條，用最簡單的邏輯去推演，似乎就可以認定為該公司之內部控制制度在法令遵循上面的有效性在事實上是有瑕疵的，既然有瑕疵，公司的董事長及總經理卻在內部控制制度聲明書上聲明無瑕疵，金管會就可以依聲明不實之相關規定移送檢調單位。從這個角度看來，法令遵循在內部控制之架構下，是需要所有公開發行公司格外加以重視的，若公司不慎違法，原本就應該要負擔相關之責任，已經是不幸之事，若還要另外承擔內控聲明書不實之法律責任對公司來說無疑是雪上加霜，情何以堪！法令遵循屬於內部控制的三大目標之一，而我國關於內部控制的最基本規範是「公開發行公司建立內部控制制度處理準則」，可惜的是，雖然在該處理準則的字裡行間偶有出現「法令遵循」之字眼，對於公司到底要如何建立一套有效的法令遵循計畫，卻缺乏讓企業得以參照之規範6。迄本書撰成為止，現行有效的法令條文當中，有提到「法令遵循」或「遵循法令」字眼者約有80則，其中內容有關於建立「法令遵循制度」者則僅有16則7，另外的64則對於法令遵循該如何建立並無實質之規定（包括公開發行公司建立內部控制制度處理準則）在這16則「相對來說」比較具體的法令僅僅是為了金控、銀行、信用合作社、票券、信託、保險、證券、期貨等金融相關產業所設計之規範，對於其他產業則隻字未提。本書在評論的順序上，由於這16則金融業相關規範對於法令遵循計畫之建立有較具體之規範，本書在討論的順序上會先檢討這16則之規範。另外的64則在內容上關於法令遵循計畫之建立基本上乏善可陳，本書將僅針對最具代表性、同時也是關於內部控制的最上位之公開發行公司建立內部控制制度處理準則」提出其問題所在。參考資料: 1. 參照處理準則第3條：「公開發行公司之內部控制制度係由經理人所設計，董事會通過，並由董事會、經理人及其他員工執行之管理過程，其目的在於促進公司之健全經營，以合理確保下列目標之達成：一、營運之效果及效率。二、財務報導之可靠性。三、相關法令之遵循。前項第一款所稱營運之效果及效率目標，包括獲利、績效及保障資產安全等目標。第一項第二款所稱財務報導之可靠性目標，包括確保對外之財務報表係依照一般公認會計原則編製，交易經適當核准等目標。」 2. 參照處理準則第24條：「首次辦理股票公開發行及公開發行公司，應每年自行檢查內部控制制度設計及執行的有效性，並依規定格式作成內部控制制度聲明書於每會計年度終了後四個月內於本會指定網站辦理公告申報。前項內部控制制度聲明書應先經董事會通過；修正時，亦同。第一項內部控制制度聲明書應依規定刊登於年報、股票公開發行說明書及公開說明書。」 3. 公開資訊觀測站，此網站裡面有各種公司應該要揭露的重要資訊，投資人可以透過這些相關資訊來了解各公司的經營狀況。 4. 刑事責任分別是三年以上十年以下有期徒刑與一年以上十年以下有期徒刑，刑法上的過失致死罪也才兩年以下有期徒刑，可見這裡的刑事責任算是相當的重。