審計審什麼？

我想這個問題的答案不同經驗、不同公司的審計師會有千差萬別的答案。我說一種最常見的審計內容，看能否得到大家的認可——審計審查那些沒有按照公司規章制度辦理的事情。

一間公司，從小作坊變成正規軍，很重要的一點是流程的規則化。採購由需求方發起、獨立的採購人員執行；市場活動有執行人，有人驗收；互聯網公司很多的線上流程一般也都有固定的複核、審批流，甚至是系統控制。但在企業日常運行中，總會有很多的「特殊情況」，它們或是新的業務、或是已有業務中由於種種情況無法按照原定流程執行的事務。

於是問題出現了，在這種情況下，我們該如何執行？

有人想的是特事特批，有人想的是建立流程。但仔細想想，如果這是一件極具偶然性的事情，換而言之在可見的過往和未來類似的情況並不會重複，那麼即便是建立流程是不是也就等同於特事特批呢？畢竟你也可以把責任領導審批當做一種流程嘛。

於是年底的審計工作開展時，遇到了類似的情況，會不會算作審計發現？

我自己沒有從事過審計工作，不能對這件事情發表專業的看法。但我認為，即便是審計發現，也應該將其定義為「流程瑕疵」而不能對執行人有處分措施（當然前提是中間沒有發生舞弊事件），因為如果這樣的「違規」都會遭受到處分的後果，下一次業務在開展任何工作時，都會擔心事後的追責而畏懼不前。我認為不論公司的哪個部門，其工作的最終目標都是在效率與管控中尋找到平衡點，而不是一味的追求「合規」，否則就會造成「做得越多錯的越多」的文化氛圍，讓公司的所有人喪失了工作的動力。

但話又說回來，如果所有的事情都可以特批，會不會導致另外一方面的傾向——業務肆無忌憚。缺少管控不但是舞弊滋生的溫牀，更使得很多潛在的風險沒有被考慮到。換句話說，輕則「好心辦壞事」，重則違反公司紅線，謀求私利。

於是在很多公司中，就有了風控部這樣的部門——他們更多參與的在事情進行過程中的風險把控，在「特批」的環節給與支持與建議，避免公司損失。舉個例子，常規採購需要進行招投標、詢比價，但在某些特定的場合，由於特殊原因，必須要指定供應商（類似於政府指定、特定資源置換等），那麼即便我們無法執行招投標環節，也應該遵守SOD、驗收等基本的採購原理，也應該避免倒簽的發生。這並不是拘泥於形式，而是權力集中、無驗收可能發生舞弊；倒簽可能發生潛在法律糾紛。在現實情況的制約下盡量的合理合規，就成了風控人員的技術，甚至可以稱之為藝術。採購、財務、法務這些還是企業最常見的職能，真正優秀的風控人員，應該懂得業務，參與業務中發生的類似決策中，為公司增加價值。

所以下一個很有趣的問題是，風控到底有沒有獨立性？

不知道別的企業有沒有類似的情況，現在大家自我風險規避的意識強多了，很多事情都會找一個「靠山」，如果沒有風控，很多時候這個最終的靠山（責任承擔者）就是業務線負責人（當然也免不了有甩鍋的領導）；如果有風控，那很多時候這個「靠山」就變成了風控。換而言之，業務在知曉公司有風控部門存在的前提下，非常願意抄送或者得到風控的審批，作為自己的保護傘。這反過來又會給風控帶來很大的壓力。很多時候「協助者」的身份被駕到了「背書者」的身份，風控也不敢說話了。

這一道難題最關鍵的地方還是在於：每個人都不願意成為「最終負責人」，這是所有企業的通病，也是人性的弱點。比較起公司利益的最大化，我們更在乎的還是在一個企業中個人的發展，沒有人願意成為「背鍋俠」。

我來試著回答這個問題。首先我認為如果無論如何要點一個最終負責人，業務負責人還是應該承擔這樣的角色，原因無他，就是事情辦成了是業務的功勞。每一個HRBP、財務BP、採購BP、風控BP都可以被看做一個業務負責人的AGM，幫他處理其中一部分工作。如果事業線取得了豐厚的成果，那麼這榮譽屬於事業線負責人。那麼同樣的，他就應該承擔所有的風險及出事後的損失。我個人認為這是公允的。但在這個前提之下，我認為每一個角色應該淡化責任歸屬，將公司的業務線看做一個整體，從整體的角度出發思考問題。否則就會產生我前面所述的種種甩鍋問題。要做到這一點，需要的是良好的企業文化以及領導者的擔當。這也是判斷一家公司好與不好的關鍵。

回到風控上來。風控的獨立性肯定示弱於審計的，這是因為風控本身工作的職責所定。在傳統企業管理預防、發現、解決等諸多角色中，風控顯然是更偏向於預防與解決，審計和廉政會更傾向於發現問題。如果一個企業中的風控與審計、廉政團隊綁定，以同樣的獨立性要求，那麼我想大概率風控的作用很難被發揮。以後再遇到問題，風控的口徑就變成了「如果沒有規章制度就請自行建立規章制度，否則按照違規處理」的標準答案了。

我想倡導一種理念，公司的所有人，不論是哪個部門，都應該以解決問題作為首要目標。這也是我非常看重部門間壁壘的一個主要原因。用一個未必恰當的例子來形容兩種文化：一個老奶奶摔倒在地上了，如果只有一個人敢扶，那這個人就會擔心被訛。如果大家都上去扶她，可能被訛詐就不再成為一個問題。這一點不單適用風控，對於審計和廉政亦是如此。如果發現了一個無法被解決的問題，那麼這樣的工作有什麼意義呢？只有在發現問題時獨立性才重要，但發現問題後，我不認為獨立性是阻礙任何人提出改進建議的理由。難不成還要留著問題下次再發現好寫審計報告麼？

可能這是我過於理想化的解決問題思路。究竟是不是適用於在工作中落實執行，恐怕只有時間能給我一個答案了。

推薦閱讀：