构建企业内控和反舞弊的体系与生态

近年来，大量民营企业持续发布对舞弊案件的处理结果，尤其是一些移送司法机关追究刑事责任的案例，显示了企业对打击内部舞弊行为坚决的态度。
在这些案例的办理过程中，我们看到了行业大生态发挥的积极影响，技术公司、专业律师、会计审计等参与其中，为企业收获良好的案件效果贡献力量。
与此同时，我们也发现了不少公司管理制度、业务流程上存在的问题，涉及员工劳动关系、供应商管理、商议秘密保护、IT管控等多个维度，企业内部的内控反舞弊小生态建设也需要有序推进。
企业内控和反舞弊职能的定位
企业内控和反舞弊的目的是从维护企业安全的角度出发，避免因内部成员（包括股东、高管及其他员工等）的舞弊行为，导致利益受损。
企业内控和反舞弊的职能旨在通过内控体系建设，从机制上、制度上对舞弊行为进行有效的隔绝和预防，并能够让舞弊案件的相关调查取证，包括涉案员工的纪律处理，民事、行政、刑事司法处理，劳动关系处理，以及相应交易对手的合同处理等均得以有效解决。
我国《公司法》明确规定了股东会、董事会、监事会的职责，监事会对公司运营管理负有监督职能。2008年财政部等五部委联合印发的《企业内部控制基本规范》及其配套指引，对中国境内设立的大中型企业（目前证监会对上市公司要求执行该规范）提出了内部控制要求。该规范对公司的内部控制工作从18项应用指引、评价指引、审计指引等方面进行规定，有了更具体的架构设置和具体操作规范，比如要求企业应当成立专门机构或者指定适当的机构具体负责组织协调内部控制的建立实施及日常工作。同时，企业应当在董事会下设立审计委员会。审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。
尽管该规范对企业内控作出了原则化的规定，但内容和当下的舞弊情况仍然匹配度不足，欠缺司法衔接，并不能真正满足企业的内控反舞弊需求。况且，不少上市公司对上述规范的执行也流于形式，出现连续几年内控报告一字不差的情况。
因此，企业内控和反舞弊体系的构建还是应当结合当前的舞弊形势，以及法律的配套来思考和设计。
企业内控和反舞弊组织机构的职能
企业负责内控和反舞弊的相关人员，其职能应该包括两个方面：一是内控和反舞弊制度体系的建设和日常监督执行，负责研究相关理论，结合《企业内部控制基本规范》制定可执行、可操作的实施细则，并落实到位；二是有效处置舞弊问题，负责处理内部、外部举报，包括收集整理初步线索、材料，自行或寻求第三方开展案件调查，启动司法程序等。
从组织架构上看，目前中国各企业负责内控和反舞弊的人员情况各异，有内审部门负责的、有专门设立监察部的、有归在法务甚至人事部门监管的……但综合职能来看，内控和反舞弊贯穿在企业的各个运营环节中，相关机构除了需要兼顾内审、监察两大职能外，同时还应当能够协调法务、人事、IT、财务、业务等各部门的协助参与，如此才能真正做到事前有效预防、事中应对得当、事后妥善处置。
企业内控和反舞弊职能与公司运营环节
企业对于内控和反舞弊体系的定位和职能有了认识后，便需要将其贯彻在日常经营管理的各个环节。
1企业业务流程的内控和反舞弊设计
不同领域、行业的企业，其业务流程各有不同，会细分到采购、销售、研发、外包等。对于企业业务流程中的内控和反舞弊设计，从原则上说，应坚持做好不相容职务分离控制和授权审批控制。
不相容职务分离控制中的“不相容职务”，是指那些如果由一个人担任，既可能发生错误和舞弊行为，又可能掩盖其错误和舞弊行为的职务。企业在业务流程的设计中，需要以“内部牵制”为核心，要求每项经济业务都要经过两个或两个以上的部门或人员的处理，彼此形成监督和牵制，使得单个人或部门的工作必须与其他人或部门的工作相一致或相联系，增加舞弊成本和难度。
授权审批控制，则要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。对于重大的业务和事项，应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策。例如，销售经理对某产品的销售定价权，就应当明确规定其在标准价格基础上的变动幅度，很多销售经理违规低价销售给自己设立或控制的关联公司的案件，就是因为定价权不明晰，导致案件性质和公司损失无法认定。
2企业财务流程的内控和反舞弊设计
企业财务流程的内控和反舞弊设计首先要解决公司组织架构不合理的问题。若财务部门受制于业务部门或领导层，即使有再规范、再详细的制度，也会形同虚设，极易出现资金安全、虚假财务信息风险。
其次，要避免账外账、出纳可单独控制资金等情况。很多财务人员舞弊行为的发生，就是因为财务人员可一人完成所有的资金操作。同时，财务凭证等档案资料应当在流程设计中明确，做到财务工作步步留痕可查。
3企业知识产权保护机制的内控和反舞弊设计
现如今，随着互联网发展和各类核心信息的数据化，知识产权保护除了常规的商标注册、专利申请等措施外，商业秘密保护已经越发成为企业关注的焦点。因为商业秘密的泄露和被窃取，对企业造成的伤害往往更大。而这类案件大多发生于内部员工出现问题，比如员工恶意窃取商业秘密跳槽至竞争对手，或者高管直接将商业秘密带走自行成立公司同行竞争，或者员工被竞争对手收买泄露商业秘密等，都可能对企业带来致命性伤害。
这类案件伤害程度大，但因为取证难，以及现有司法的局限性，公司往往最难维权。很多公司甚至都不清楚如何将自己的“商业秘密”设定为法律上的“商业秘密”（法律上“商业秘密”应当符合“三性”要求）。
因此，对于知识产权的保护，在内控和反舞弊的视角上，企业应当重点关注商业秘密和反不正当竞争的保护。此外，采取一定的技术手段对商业秘密进行分级和权限管理，也是有效方法和手段。
4企业劳动关系的内控和反舞弊设计
从实务经验看，大多数企业在考虑劳动关系和人力资源政策时，仅仅包含传统的劳动权利义务，如合同期限、工作内容、工作时间、工资待遇、劳动保护、社会保险、劳动纪律等。
关于如何在劳动关系的设计中预防舞弊事件的发生，如何设置员工隐私权和公司调查权的平衡，以及妥善解决舞弊人员与企业的劳动争议，需要企业进一步设定利益冲突和反贿赂政策，避免裙带关系、关联交易等危害企业利益的情形出现；设计保密和竞业禁止协议，对意图舞弊的人员起到实质性的威慑作用，便于企业事后主张违约责任；建立舞弊举报制度，保护举报人的隐私，确保信息及时有效传递等。
5企业合同管理的内控和反舞弊设计
很多舞弊行为发生在合同关系里，比如采购合同中，公司采购人员和供应商的关系；销售合同中，公司销售人员和经销商/客户的关系……如果在上述关系中发生商业贿赂等舞弊问题，该合同很可能会给公司带来重大损失。
对这类合同，公司有无针对性设立廉洁条款，以及该条款对合同效力、解除权、违约责任等约定是否适当等，都会成为公司能否及时止损、寻求法律救济的重要依据。
6企业IT管理的内控和反舞弊设计
随着数字时代的到来，IT技术已经渗透到企业运营的方方面面，大多数舞弊人员会将自己的舞弊行为痕迹留存在邮箱、计算机、移动存储介质等电子设备中，也即在上述设备会存有重要的证据和线索。
但大部分企业在做IT架构时，并不会有意识地考虑其中的内控和反舞弊设计，以致企业的基本内控需求大量被忽略。例如，不同岗位的不相容原则应当体现在OA流程中；公司在员工配发手机、计算机、移动存储介质时应当有规范的登记、签收等规定；IT人员对涉案员工的邮箱账号、计算机、移动存储介质保存应当有基本的证据保管法律技能；以及重要商业秘密的服务器存储，账户分级管理和技术安全设置等，都是IT管理在内控和反舞弊上的重要应用。
7企业档案管理的内控和反舞弊设计
档案资料是发生舞弊案件后开展有效调查的重要方面，越完整的档案资料越能反映和还原当时的客观事实，例如员工自填的一份员工信息表，就可能包含了其基本的家庭成员信息；一份审批单，就包含了申请人信息、审批人信息……这些信息往往在舞弊案件中会起到决定性的证据作用。
从内控和反舞弊的角度，对于项目合同、劳动合同等合同档案的管理设计，在合同订立后，合同副本及相关审核资料应交由档案管理部门归档，合同正本由合同归口管理部门负责保管和履行。
对于记账凭证、财务报表、会计账簿等财务档案，采取信息化会计档案管理制度也是目前的常见做法。将财务会计档案存储为电子数据，指定专人负责管理，做好防消磁、防火、防潮和防尘等工作。还要进行定期检查，防止由于介质损坏而使会计档案丢失。
企业内控和反舞弊工作的核心价值在于预防和控制舞弊发生，而非惩处舞弊人员。积极向上的企业文化和必要的警示教育对于企业营造良好的廉洁文化都是非常有效的方法。如果企业没有良好的廉洁文化，对舞弊行为容忍或形成风气，会让其他员工为自己的舞弊行为找到“自我合理化”借口。如今，有越来越多的企业公开宣称对腐败舞弊行为“零容忍”，这也是企业文化的一种体现。
总之，企业的内控和反舞弊工作，不仅仅是审计和案件的查处，也不仅仅是个别部门的职能；对企业而言，是管理层需高度关注、融入在企业运行中的一项系统性工程。企业应当结合舞弊现状，考量现有的各项法律规定和司法实务要求，在职能、架构、机制层面进行重塑和调整，建设完整、有效的内控和反舞弊体系。