成长型企业的基本内部控制

一封供应商的邮件说他们换了银行账户。负责登记采购的同一个人更新了资料、准备好付款，又因为总经理出差而自己批准了这笔付款。一个月后，供应商投诉说从来没收到钱。公司内部没有人存心作恶，但整个过程中没有任何一个环节需要另一个人看一眼。

公司规模小的时候，老板什么都看得到。规模变大后，这就做不到了，于是需要内部控制：一些简单的规则，让任何错误或滥用都必须有不止一个人参与，并且留下痕迹。本文介绍最基本的控制措施以及落地方法，即使你用的是电子表格也适用。

职责分离

原则是：任何一个人都不应独自掌控一个流程的全过程。几乎每一条资金流里，都有四项职能值得分开：

职能	采购与付款	销售与收款
登记	创建采购订单	开具发票
审批	批准采购或付款	批准折扣或赊销额度
保管	执行转账	收取现金或存款
对账	用银行对账单核对付款	用发票核对收款

如果同一个人既登记又保管，或者既审批又核对自己的工作，他就可能出错，也可能把错误掩盖起来。

团队人少怎么办？不一定总有四个人。这种情况下可以采用补偿性控制：老板每周查看完整的银行对账单；供应商银行信息的变更须通过电话向已知联系人确认；或者由外部会计每月抽查一部分付款。

按金额分级审批

并不是每一笔采购都需要同样程度的审核。一张分级表可以避免经理什么都签，而真正重要的却没人签。下面是一个使用假设金额的例子：

采购金额	审批人
Bs 5,000 及以下	部门主管
Bs 5,001 至 Bs 30,000	部门主管和行政经理
超过 Bs 30,000	总经理

具体金额由你的公司根据规模和风险自行确定。关键是要写成书面规定，并让所有人都知道。

拆单问题。假设部门主管的审批上限是 Bs 5,000，而同一周内出现了向同一供应商的三笔采购，金额分别为 Bs 4,800、Bs 4,900 和 Bs 4,700。三笔合计 Bs 14,400，本应由行政经理审批。识别方法如下：

1. 按供应商和周对采购进行分组。
2. 汇总每组的金额。
3. 标记那些合计超过某一审批级别、但单笔都没有超过的分组。
4. 与每笔采购的审批人一起复核被标记的分组。

一个有用的指标是：金额落在所属级别上限 90% 至 100% 之间的采购占比。如果这个比例很高并且还在上升，可能有人在调整金额以避免升级审批。

权限矩阵

只有把职责分离转化为具体的权限，它才真正生效。权限矩阵把角色与操作交叉列出：

操作	采购	资金	会计	管理层
创建采购订单	是	否	否	否
审批采购订单	否	否	否	是
修改供应商银行信息	否	否	是	否
执行付款	否	是	否	否
银行对账	否	否	是	否

矩阵要按角色来建，而不是按人。有人调岗时，只需更换角色，不必去记零散的权限。同时检查每一行都没有把上一张表里互不相容的职能组合在一起。

变更日志

有些数据一旦修改，就应该始终留下记录：谁改的、什么时候改的、原值和新值：

• 供应商和员工的银行信息。
• 销售价格和价目表。
• 客户信用额度。
• 已审批单据上的金额。
• 用户、角色和权限。

如果你用电子表格，至少要保存带日期的版本，并给主数据表设置密码保护。关键在于，日志不能由做出修改的同一个人来编辑。

单据支持

每一笔付款都应该能追溯到源头。在采购中，经典的控制是三单匹配：已审批的采购订单、收货单和供应商发票。如果三者之间的数量或价格不一致，就暂缓付款，直到查清为止。

指标：单据齐全的付款占比 = 当月三单齐全的付款笔数 ÷ 当月付款总笔数 × 100。假设某月你付款 200 笔，其中 170 笔有订单、收货单和发票：170 ÷ 200 × 100 = 85%。剩下的 15% 就是你的复查清单。

发票和会计资料的保存期限由现行法规规定；在制定归档政策之前，请先向你的会计师确认。

定期复查访问权限

权限会越积越多：有人临时顶替休假的同事，多拿了一个权限，之后却一直没人收回。定期复查（例如每季度一次）可以纠正这个问题：

1. 导出在用用户及其角色的清单。
2. 与在职人员名单核对，停用已离职人员的账户。
3. 把每个团队的名单发给对应主管，确认每个角色是否合适。
4. 收回已到期的临时权限。
5. 记录本次复查，包括日期和批准人。

指标：复查时仍处于启用状态的离职员工账户数。目标是零。

常见错误

• 共用账号。如果五个人共用“收银1”，日志就毫无意义。
• 例外变成常态。“就这一次我来批”最后变成了规矩。
• 隐藏而不是限制。把某个选项从菜单里隐藏，并不能阻止别人从其他途径进入；真正起保护作用的是权限。
• 控制没人复查。没人看的日志，只能在出事之后派上用场。
• 照搬别家公司的矩阵。风险取决于你自己的流程和规模。

检查清单

• 四项职能（登记、审批、保管、对账）已经分开，或有相应的补偿性控制。
• 有一张书面的按金额分级审批表。
• 每月至少检查一次采购拆单情况。
• 有按角色建立的权限矩阵，且没有互不相容的组合。
• 银行信息、价格和权限的变更都有记录。
• 每笔付款都有订单、收货单和发票。
• 按固定频率复查访问权限，并留下书面记录。
• 每个用户账号都专人专用，不得转借。

交给系统来做

只要执行到位，这些控制用电子表格也能运转。当业务量增长时，像 MKA 这样的 ERP 可以按角色分配在服务器端校验的细粒度权限，并把每一次数据变更记录在可校验完整性的哈希链式日志中（查看审计与安全）。