不优化内控机制，软肋就会变成硬伤
作者：马军生 来源于《中国税务报》2016年2月5日
中国农业银行1月22日晚间发布公告称，2名员工涉嫌非法套取票据，涉及风险金额为39.15亿元。由于金额巨大，公安部和银监会已将该案上报国务院。中国农业银行39亿元票据丢失，揭示大企业内控机制存在软肋。不断发生的案例提醒大企业高层，应该不断优化内控机制，谨防软肋变成硬伤。
分析：
农行39亿元票据缘何丢失
作为一家大型企业，中国农业银行39亿元票据是如何丢失的呢？
从媒体报道看，农行39亿元票据丢失的大致脉络是：农行北京分行与某银行进行银行承兑汇票转贴现业务，在回购到期前，银票应存放在农行的保险柜里，不得转出。但实际情况是，这些银票在回购到期前并不在保险柜里，而是被内部员工“狸猫换太子”盗取出来，保险柜中的所谓“银票”则被换成报纸，涉案员工利用非法套取的票据开展回购贴现交易，贴现资金非法进入了股市。由于股价下跌，出现巨额资金缺口无法兑付，最终导致东窗事发。
2015年底，银监会就曾下发一份通知，称按照2015年现场检查计划，各银监局分别对管辖内部分银行业金融机构2015年上半年票据业务开展了现场检查。检查发现，相关银行业金融机构在办理票据业务中均不同程度存在不审慎行为。据业内人士介绍，农行这次爆出的39亿元大案，不过是冰山一角。此前一年，农行内部曾开展好几轮现场检查，对于票据交易都采用了自查方式。据悉，农行目前已暂停了资金业务和放贷业务。此案爆发后，社会各界非常震惊，很多人感到不解的是，作为一个国有控股的大型上市银行，应该会有严密的内控措施，怎么会如此轻易发生几十亿元票据变为废报纸的大案，银行的风控难道形同虚设？
一位银行风控部门人士表示，由于票据回购业务涉及计财部门、柜台部门、信贷部门等前、中、后台至少4个部门，只有串联才可以违规操作。因此，这一案件显然不仅仅涉及2人，而是窝案。目前作案细节尚未披露，结合相关报道看，笔者推断应该是农行北京分行作为资金提供方，与某银行开展了一笔银行承兑汇票买入返售业务，农行派2名员工去对方收取质押票据并封包，然后回农行将票据封包入库。正常情况下，回购到期前，该票据应存放在农行北京分行的保险柜里，不得转出，到期时将票据封包由农行归还对方银行。但是，负责操作收取票据的2名员工
（业务和会计岗）串通，在收取票据后将票据予以替换，入库的封包实际已是一堆废报纸。由于封包入库时并不拆包，入库时则可蒙混过关。盗取票据的员工通过票据中介利用票据进行回购贴现交易，获得一笔资金，用于炒股赚取一笔高收益。此后，如果赶在回购到期之前赎回票据，则整个过程神不知鬼不觉。可惜股市大跌，资金断链，无法填补窟窿，才终于“纸包不住火”，导致案发。
思考：
内控机制存在软肋
无论从财务风险内控的角度看，还是税务风险内控的角度看，农行39亿元票据丢失一案都值得大企业高层反思——每个大企业的风险内控机制其实都存在软肋，关键是如何正视这些软肋，并采取有效的防范措施。
分析上述作案过程，可以说算不上高明，并不是什么高智商金融犯罪。作为银行，通常是有相关内控制度和风险防控措施的，比如双人办理、重要岗位轮岗、账实核对、内部自查和外部检查等。很多大案爆发后，回过头来分析，经常发现很多大企业虽然有内控制度，但实际往往没有严格执行。例如，在本案中，农行就存在未建立票据台账、重要岗位定期轮岗得不到落实、上级行对下级行检查流于形式等问题。再比如，2007年邯郸农行金库失窃案，2名金库保管员联手盗窃金库5000多万元，事后发现监控探头坏了无人修、盘库制度未严格执行等一系列问题。
内部控制制度不能得到有效执行是个老生常谈的问题。笔者在十年前撰文《内部控制十大漏洞》提到一条漏洞“说一套来做一套，制度如同放空炮”，并分析内控制度不能执行原因主要有二：一是制度本身制定得不合理，或过于理想化，或随着新情况出现，原有制度已不能适应却没有及时修改，从而使得制度不具可操作性，自然也就不会被执行；二是缺乏保证制度执行的机制，一些企业对内部控制执行情况既没有检查监督，又没有相应的奖惩措施。
笔者认为，如果将风险案件爆发仅仅归之于内控不能执行，指望通过加强内控执行就能解决问题，则未免失之简单——其实背后隐藏着内控设计和指导理念的问题。在做内控制度设计时，不少大企业往往假定各项内控制度是会被执行的，但现实是内控并非万能的，内控有它自己的软肋，就如古希腊神话中的阿喀琉斯。传说，阿喀琉斯的母亲曾把他浸在冥河里使其能刀枪不入，但因冥河水流湍急，母亲捏着他的脚后跟不敢松手，所以脚踵是最脆弱的地方，最终这位刀枪不入的勇士被敌人用箭射中脚后跟。这是谚语“阿喀琉斯之踵”的来历。内控最常见的软肋，就是员工蓄意串通绕过内控，还有就是从成本效益原则考虑，企业不可能为了防范风险而无限制地增加成本。
内控制度最终执行是要靠人的，因此企业构建内控体系时，必须要考虑内控软肋，并尽可能采取相关措施加以预防。比如上门收取票据，如员工严格按制度操作，双人相互监督，自然不会发生票据变成废报纸的事情。事实上，这只是一种良好主观愿望，必须考虑到在巨大利益诱惑面前存在两人串通舞弊情形。为此，企业可采取透明封包、取回封包与归还封包由不同人员操作、定期轮岗、突击清查盘点等措施，则即使两人想串通舞弊，仍然可以及时发现。
建议：
不要忽视内控体系局限性
基于上述分析，笔者建议大企业在构建内控体系时，必须考虑内控本身局限性，为此要注意以下几点：
一要考虑到舞弊或串谋风险。在设定相关控制措施时，不仅要有正向思维，同时要逆向思维考虑是否存在漏洞。就好比打仗，敌人不仅会正面进攻，也可能侧翼攻击、迂回包抄或内部策反。
二要树立多道内控防线的理念。因为任何控制点都存在失效的可能性，通过设立多道防线，发挥业务、财务、风控、内部审计和外部审计检查等多主体的风险防控职能。在控制措施方面，既要有直接控制措施，也要有补偿性控制，从而降低整体风险系数。
三要树立风险导向意识。加强内控体系并不意味着处处加固防守，因为资源是有限的，企业应评估风险后果和频率，抓住控制要点，将内控资源合理配置在最有效的地方。譬如涉及几十亿资金安全的票据，则重点防控；对某些风险不大的地方，可适当减少控制措施。