2022年12月7日，甘肅平?jīng)觯窬癁槔夏耆碎_展反電信網(wǎng)絡(luò)詐騙宣傳。IC 圖

最近接受一家公司的邀請，就財務(wù)操作流程如何合規(guī)和風(fēng)險把控方面進(jìn)行了一次交流。原因是公司出現(xiàn)過這樣的一種情況：有人冒充領(lǐng)導(dǎo)打電話給財務(wù)，讓他轉(zhuǎn)幾百萬到某個賬戶，然后財務(wù)真的就直接轉(zhuǎn)了，后果很嚴(yán)重。

這其實并不是個案。前兩年有一家上市公司也發(fā)生了類似的場景，并發(fā)布重大事項公告對事情的原委進(jìn)行了說明，核心內(nèi)容是財務(wù)主管人員遭遇電信詐騙，導(dǎo)致公司銀行賬戶內(nèi)的298萬元人民幣通過網(wǎng)絡(luò)被盜取。

根據(jù)公開信息，這個事情的發(fā)生除了騙子之外，還涉及公司內(nèi)部的三個人：一是公司綜合管理部的職員楊某，二是公司的財務(wù)負(fù)責(zé)人鄧某，三是出納員詹某。

調(diào)查顯示，楊某收到了一份署名為公司總經(jīng)理張某的郵件，要求他建立一個內(nèi)部工作群，把財務(wù)負(fù)責(zé)人拉到群里。楊某可能是“太年輕又單純”，在不辨真?zhèn)蔚那闆r下，真的按照其指示拉了一個群，還把鄧某拉入新建的群。群中只有三個人：楊某、鄧某和（假冒的）張某。

張某在群中開始對鄧某說，今天有一筆保證金大概98萬元要打過來，你查一下工行的基本戶收到?jīng)]有。鄧某在核查之后回答說：工行尚未有收賬記錄。

張某接著說：你聯(lián)系一下徐某，他的電話156********，問他合同保證金打了沒有，如果沒有打就暫時不要打，讓他等我修改好合同后再打保證金。

鄧某按照指示，聯(lián)系了“徐某”（估計就是騙子或者“連襠模子”），然后告知張某，“已經(jīng)聯(lián)系過了，徐炳洪說十分鐘前已將款劃入你個人賬戶”。

張某回應(yīng)：“我在開會沒有留意，款項我已經(jīng)收到，他已經(jīng)打入到我的私人賬戶了。你現(xiàn)在再聯(lián)系一下徐總，我需要修改合同，先把保證金退給他，等合同修改后再重新打款，你安排從公司賬上將98萬元退回去，我會議結(jié)束后再補(bǔ)匯到公司賬上?！苯又?，張某把徐某的賬號發(fā)給了鄧某。

鄧某完全沒有意識到這是個騙局，也沒有任何甄別判斷的意識，“在未經(jīng)公司領(lǐng)導(dǎo)審批，未執(zhí)行財務(wù)付款流程”的情況下，同出納員詹某一同經(jīng)網(wǎng)上銀行劃出公司的銀行資金98萬元。

看到第一筆資金如此輕易到手，騙子估計心中樂開了花。

既然這么好騙，那就再來一次。于是十幾分鐘后，張某又發(fā)了一段信息：“徐總可能沒有和他的會計溝通清楚，他的會計以為合同已經(jīng)簽訂成功了，又把尾款打給我了。這樣吧，你再安排一下從公司把款項退回去，明天我將298萬一起退回公司。合同還沒有簽，要給對方一個好印象……”。

鄧某又傻傻地打了200萬過去，此時的他還沒有意識到被騙。直到當(dāng)天晚上，楊某看到了聊天記錄，開始懷疑碰到了騙子，于是打電話給鄧某，鄧某也意識到可能其中有問題，再打電話給公司的張總核實，發(fā)現(xiàn)真的被騙了。

這件事情發(fā)生之后，會計上做賬非常簡單，比如資金已經(jīng)沒了，對應(yīng)的要有相關(guān)責(zé)任人（主要是楊、鄧、詹三人）承擔(dān)20%比例的賠償，剩余80%的差額計入壞賬準(zhǔn)備或管理費用，另外對相關(guān)直接責(zé)任人采取了調(diào)離崗位和撤職的處理。

有人說騙子真聰明，知道假冒領(lǐng)導(dǎo)來行騙，還能一再得手。但從專業(yè)的角度看，是公司內(nèi)部控制出了問題。

早在美國安然、世通丑聞爆發(fā)之后，當(dāng)時的美國總統(tǒng)布什就簽署了著名的《薩班斯·奧克斯利法案》。該法案一共有11章80條，其中至關(guān)重要的條款之一是404條款，即要求上市公司建立健全財務(wù)報告內(nèi)部控制，以合理保證財務(wù)報告的真實、可靠、完整。

因為我國也有很多公司在美國上市，于是在財政部的牽頭下，我國監(jiān)管部門在2008年也發(fā)布了《企業(yè)內(nèi)部控制基本規(guī)范》，此后又出臺了很多的配套制度，對上市公司內(nèi)部控制建設(shè)提出了明確的要求。

就前述案例而言，相關(guān)事實表明上市公司還是有內(nèi)部控制規(guī)定的，比如有總經(jīng)理“張某”的要求、財務(wù)負(fù)責(zé)人鄧某的審批、出納員詹某的付款，這叫“職責(zé)分工”，是內(nèi)部控制的核心要求。

但與此同時，案例中也有很多內(nèi)部控制方面的缺陷。比如付款環(huán)節(jié)，首先要有付款理由，是采購，還是報銷，或者是借款？采購要有合格供應(yīng)商名錄、招投標(biāo)程序、采購合同、驗收報告、發(fā)票等等；報銷、借款，也要有合格的憑證和規(guī)定的程序等等。如果涉及大額的資金支付，可能還要走“三重一大”的決策程序，甚至還有預(yù)算的管控要求等等。

一個未經(jīng)證實的“張某”，通過口頭要求，就能夠輕松把公司298萬元的資金轉(zhuǎn)出去，違反了“領(lǐng)導(dǎo)審批”“財務(wù)付款流程”兩個要求。換句話說，張某要付錢，理論上是不能夠由張某來審批的；財務(wù)要付款，是要有原始憑證和規(guī)范流程的。騙子能得手，說明公司的內(nèi)部控制要求流于形式?！昂贤ＷC金”，那合同編號多少、合同內(nèi)容是什么、收款條件、打賬的賬號和名稱等，都應(yīng)該是財務(wù)關(guān)注的點，怎么可能把“公司”的款打到“個人”的賬戶上？這是不符合賬戶管理要求的！理論上，合同是格式條款，通常還要經(jīng)過法務(wù)的審核，怎么可能出現(xiàn)公、私不分這樣低級的錯誤條款？！

再比如說，公司是先收款再打回去款項的，那么客戶是新客戶還是老客戶，公司數(shù)據(jù)庫里有無該客戶的信息？新客戶有無信用評估報告，合同編號多少，客戶付款條件、期限安排、金額比例是怎樣約定的？客戶在短短半個小時不到的時間，分兩筆把合同價款打到個人賬戶上，其經(jīng)濟(jì)合理性如何？合同簽署的程序、收到款項的開票程序、產(chǎn)品或勞務(wù)提供的要求等都是常規(guī)的審核點，而鄧某居然一個問題都不問，要不說明他缺乏必要的專業(yè)知識，就是他對領(lǐng)導(dǎo)有一種盲從的心態(tài)。

內(nèi)部控制的關(guān)鍵在“過程”，公司要努力做到“過程留痕”，誰發(fā)起的業(yè)務(wù)，經(jīng)過誰的審批，有沒有符合規(guī)定條件的表單及簽字，能否通過信息系統(tǒng)予以固化，都是這個“過程”中的構(gòu)成要素。

對案例公司而言，轉(zhuǎn)的資金近300萬，負(fù)責(zé)“看門”的財務(wù)人員，首先要問的問題是轉(zhuǎn)不轉(zhuǎn)，有沒有實質(zhì)性的經(jīng)濟(jì)業(yè)務(wù)予以支撐？其次是能不能轉(zhuǎn)，有沒有得到恰當(dāng)?shù)氖跈?quán)，是否符合公司的財務(wù)制度？還要問，如果轉(zhuǎn)賬的話，有哪些憑證要求，應(yīng)該怎么操作？比如要不要經(jīng)過雙重復(fù)核，資金流、物流、信息流是不是匹配，有沒有合同，合同是否符合格式要求，是否經(jīng)過法務(wù)的審核，有沒有合同的臺賬和編號等等。

央視有檔欄目叫《今日說法》，曾經(jīng)播出一個財務(wù)總監(jiān)監(jiān)守自盜的案件。疫情期間，南京一家公司的CFO詹某在大年三十的下午趕到公司，砸開柜子拿到了付款所需的三個U盾，把公司賬上的1900萬元轉(zhuǎn)到了自己的賬上。在春節(jié)期間，詹某還向董事長拜年、請示工作、上報預(yù)算資料等等。等到春節(jié)過后回到單位，董事長才發(fā)現(xiàn)賬上的錢沒了，再找詹某，發(fā)現(xiàn)他已經(jīng)失蹤了。公司后來通過報警，費盡千辛萬苦把詹某捉拿歸案，節(jié)目上董事長很感慨，說“遇到這種人，你怎么防也防不住”。

按董事長的說法，這個詹某非常專業(yè)，到公司后，給董事長提供的第一份報告，就是加強(qiáng)公司的內(nèi)部控制，比如資金的支付審批從兩級變成三級，比如幫助董事長解決了建設(shè)工程中的法務(wù)問題、幫助同事解決了電腦操作上的IT問題，平時對人也非常友善，處事很低調(diào)。說他監(jiān)守自盜，上自董事長、下至普通員工，都沒有人相信?！爸芄謶至餮匀?，王莽謙恭未篡時”，只能說騙子偽裝的本事高。

但真的防不住嗎？U盾的密碼有3個，分別由3人保管，CFO即使拿到3個U盾，沒有密碼也是不可能把錢轉(zhuǎn)出去的。他是怎么拿到密碼的？負(fù)責(zé)保管U盾的歸口責(zé)任人是否有保密意識？公司賬上資金被轉(zhuǎn)出去了1900萬，居然要到春節(jié)后付款時才發(fā)現(xiàn)，公司是否應(yīng)該開通賬上余額變動短信提醒功能，是否運用技術(shù)手段實現(xiàn)每日余額上報及對賬？

案件披露的信息證實，詹某的文憑、學(xué)歷、注冊會計師證書、身份證等都是偽造的，公司的人力資源部門是否對關(guān)鍵崗位的員工進(jìn)行背景調(diào)查，是否經(jīng)過相應(yīng)的學(xué)歷學(xué)位驗證等？這些事實表明，如果公司對人員招聘、財務(wù)日常管理的內(nèi)部控制做到位，完全是可能防得住的。

當(dāng)然，各個公司所處的行業(yè)、環(huán)境不同，業(yè)務(wù)千差萬別，文化、管理風(fēng)格各異，制度基礎(chǔ)也不一樣，但從本質(zhì)上看，面臨的風(fēng)險卻有相似之處。在電視劇《理想之城》中，總經(jīng)濟(jì)師徐知平曾說，“我干了一輩子風(fēng)控，經(jīng)手過無數(shù)案例，得出的結(jié)論，最大的風(fēng)險來自人”。無論是第一個案例中的“張某”，還是第二個案例中的“詹某”，都是位高權(quán)重之人，如何把他們的權(quán)力關(guān)在籠子里，也許是內(nèi)部控制需要重點考慮的問題。用確定的規(guī)則來約束權(quán)力，凡事有制度、流程、表單，過程中的關(guān)鍵人員比如財務(wù)能勤勉盡責(zé)，相信騙子得手的概率會大大降低。

（本文為澎湃商學(xué)院獨家專欄“會計江湖”系列之三十七，作者袁敏為上海國家會計學(xué)院教授，會計學(xué)博士，研究方向：內(nèi)部控制、資信評級等，出版有《資信評級的功能檢驗與質(zhì)量控制研究》《企業(yè)內(nèi)部控制規(guī)范與案例》等著作。）