作者：@馬軍生博士  原載于《董事會》2014年第4期

    2014年1月28日，酒鬼酒發布公告稱，其杭州子公司活期結算賬戶1億元資金于2013年12月被分三次盜取。公告發布后，就有市場觀點質疑，為何案發一個多月后公司才出相關公告，其內控管理制度也遭到投資者質疑。公司還因此事信息披露違規被湖南證監局出具警示函。

近年來，內控漏洞導致資金被挪用或其他重大損失的案例，可謂屢見不鮮：東北高速巨額銀行存款不翼而飛、外高橋2億多資金被挪用、儀征化纖銷售會計6年期間挪用公款5000多萬、光大證券“烏龍指”事件……作為上市公司，通常來說，已基本建立起一套相對完善的內控管理制度，但一些內控“低級錯誤”為何還會頻頻發生？在事后分析原因時，人們經常聽到的一種解釋是，公司有明確制度規定，但相關人員未能嚴格執行，將風險或危機的發生歸咎于執行有效性，認為是由于員工未按章辦事才導致問題，今后需加強規章制度教育，提高員工責任心和敬業精神來保證制度執行。但果真僅僅是執行有效性問題？并非如此。

一個企業在建設風險控制體系時，如果寄希望于員工都能按照既定制度辦事，并以此來設定相關控制措施，那將是一件非常危險的事。這就好比打仗，假定敵人僅會正面進攻，不會攻擊側翼、迂回包抄或內部策反，那一定會留下致命空門，給敵人可趁之機。

很多企業建立風控體系時，卻仍然在重蹈類似覆轍。以貨幣資金內部控制為例，資金支付通常需經過支付申請、支付審批、支付復核和辦理支付幾道程序，企業內控制度一般也是按照這個流程嚴控相關節點，尤其審批和復核環節往往是很多企業的控制重點，對于正常走流程的付款，這樣層層控制確實可以防控風險。但從大量已曝光資金舞弊案例來看，絕大多數恰恰都是繞過正常審批、偽造簽字或越權審批，直接從支付環節入手，輕易挪用資金。巴林銀行倒閉就是個典型例子，里森當時既是前臺的首席交易員，又是后臺的結算主管，這兩個至關重要的崗位，都是由里森一人把持，為其越權違規交易提供了方便，他開立了“88888”賬戶（誤差賬戶）來掩蓋交易虧損，直到給巴林銀行帶來超過10億美元損失。

企業構建風控體系時，不僅要正向考慮，同時要反向考慮是否存在漏洞。對于內部或外部舞弊人員，在實施舞弊時，通常并不按常理出牌。而是會從各個角度來尋找潛在漏洞。為此，企業對風控體系有必要進行適當的“壓力測試”，即假設某崗位員工存在蓄意舞弊動機時，是否仍有機會繞過現有各項控制實施舞弊且不會被發現，如果有，說明公司風控體系存在薄弱環節。譬如某公司雖然規定所有資金支付要經總經理審批，但所有銀行預留印章卻由出納一人保管，則即使總經理未批準付款，出納也能調動資金，這樣的話，資金可能就有被不當挪用風險。因此，建立風控體系時，應具備一定逆向思維，從舞弊防范視角考慮，一是通過物理隔離或職責分離從源頭防止舞弊發生；二是對重要風險應建立多道防控線，除直接控制措施，還應有補償性控制；三是定期檢查監督，保障防控措施有效執行。

馬其諾防線已成為歷史，成為“看似表面堅固、實際毫無價值的東西”的代名詞，企業構建風控體系時，應避免再犯類似錯誤，從正反兩方面考慮整個風控體系有效性，莫讓風控制度淪為擺設。

（注：第一次世界大戰后，法國開始研究如何防御德國和意大利入侵，1930年，法國國防部長馬其諾制定了一份防御計劃，并在此后十年中，耗費了大量財力物力在法德和法意邊境建造了一系列防御工事，這就是舉世聞命名的“馬其諾防線”，整個防線工事可謂固若金湯。但是，這個登峰造極的防線并沒能在二戰中擋住德軍，1940年5月，德國主力通過阿登山脈，從左翼繞過馬其諾防線，直插法軍后方，僅一個多月占領了法國全境，法軍40個師兵力一直呆在防線等德軍來進攻，直到戰爭結束時還未放一槍一炮、毫發無損，就走出防線直接去了戰俘營。被神話般信奉的馬其諾防線最終成了無用擺設和莫大諷刺。）