金管會8月11日對合作金庫商業銀行核處1,200萬元罰鍰，起因是該行受理信用卡疑義帳款案件時，自104年至113年間有6,334件未即時向信用卡國際組織申請退款，累計損失約新臺幣1億164萬元。除罰鍰與糾正外，金管會更要求該行停止受理新客戶信用卡業務一個月，待改善獲認可後方能恢復。 十年6,334件：問題早已不是單一人員疏失 這張罰單背後藏著一個所有治理工作者都該正視的命題：企業最危險的處境，從來不是沒有制度，而是制度存在，卻沒有人真正落實執行。 制度未建立，與制度未執行，是兩種不同的失靈 一個是設計失靈，一個是執行失能 金管會將本案缺失明確分為「未完善建立」與「未確實執行」內部控制制度兩類。前者是設計層次的缺口—未完善建立信用卡疑義帳款作業規範及相關控管機制；後者則是執行層次的失能—已訂定信用卡會計作業控制重點，未確實執行信用卡會計帳務處理作業，以致制度雖存，卻未落實。 控制有效性，必須同時檢視設計與執行 這是銀行內部控制監理實務中，對控制作業「設計之有效性」與「執行之有效性」分別檢視的核心要求。合庫銀行的案例恰好示範，這兩種失靈同時存在，且相互強化—制度設計不完善，執行便無所依循；即便已有相關規範，缺乏有效執行方式，也可能讓制度形同虛設。 一人包辦三項控制活動，是職務分工失靈的警訊 從登打到調節，關鍵控制集中在同一人 本案最值得警惕的細節之一，是信用卡疑義帳款案件從系統登打、進度追蹤到帳務調節，均由同一人辦理，金管會因此認定該行欠缺牽制原則。這看似只是人力配置的問題，實則觸及內部控制最基本的職務分工原則。 真正消失的，是流程中的「第二雙眼睛」 當一項高風險業務的多個關鍵控制活動集中由同一人執行，錯誤便可能在流程內部自行流轉，而缺乏另一個獨立控制點予以檢驗。換言之，問題不只是「一個人做太多事」，而是原本應該存在於流程中的「第二雙眼睛」消失了。 6,334件長期未攔截，暴露的是牽制機制失效 原本應由不同角色分別把關的控制點，因職務集中而失去應有的獨立性，這正是本案6,334件案件長期未被有效檢驗的重要內控缺口之一。 文件可以銷毀，但控制不能失去軌跡 未結案文件遭銷毀，問題不只是檔案管理 更值得深究的是，104年至109年間疑義帳款案件的複查申請書、持卡人聲明書與交易明細，竟於110年至113年間陸續銷毀，其中部分案件當時尚未完成處理程序。 沒有紀錄，就失去事後驗證能力 這個問題的本質，不只是文件管理疏漏，而是查核軌跡的斷裂。內部控制要回答的問題，從來不只是「當下有沒有做對」，還必須回答「事後能不能證明當時確實做對了」。 控制證據消失，也等於責任追溯能力消失 當尚未結案的關鍵文件已遭銷毀，組織失去的不只是原始資料，而是重新建構事實、驗證控制是否曾經運作，以及日後追究責任的能力。 業務沒有流程，稽核也就沒有查核抓手 與此同時，業務單位未訂定作業流程，稽核單位也未就此建立查核工作底稿，形成「有業務、卻缺乏相應稽核機制」的窘境。當業務端控制與管理監督機制未能有效發揮作用，理應作為第三道防線的內部稽核，卻連立足的依據都付之闕如。 六個月輪調，究竟是風險控制，還是形式合規？ 制度要求有了，風險隔離卻未必發生 本案另一個值得深究的細節，是該行員工輪調施行要點雖明定輪調須滿六個月始得回任原職，實務上卻「流於形式」。 輪調不能只換位置，更要改變風險暴露 這句評語耐人尋味：制度白紙黑字寫得清楚，執行上卻背離了制度設計的初衷。如果輪調只是完成「人員位置的異動」，但實際工作內容、系統權限、資訊接觸及控制責任並未產生實質變化，那麼輪調完成的只是「制度要求的天數」，卻未必完成「風險隔離的目的」。 形式合規，不等於實質控制有效 這正是形式合規與實質控制有效性之間的落差—一項風險緩解機制若只求滿足表面條件，其防禦效果自然大打折扣，甚至淪為一種自我安慰式的合規劇場。 罰鍰處理過去，業務限制才是對現在能力的疑慮 1,200萬元是對過去的處分，業務限制是對現在的警訊 真正值得銀行治理階層警惕的，或許不是1,200萬元罰鍰，而是「停止受理新客戶信用卡業務一個月」的處分。 值得關注的是銀行還能不能有效控制風險 罰鍰針對的是過去的缺失事實；業務限制反映的，則是監理機關對該行現行控制能力及改善成效的高度關切。金管會要求該行完成改善並經認可後，才能重新受理新客戶，這代表在監理機關眼中，問題已經不只是「過去做錯了什麼」，而是「現在是否有能力確保不再重演」。 從個案責任，回到制度與治理責任 這也是本案除罰鍰與糾正外，金管會另要求合庫依責任地圖檢討總行督導管理人員責任，並由稽核單位列管追蹤的原因所在—當單一案件出錯，可以歸因於人員疏失；當同類型錯誤累積至6,334件，且持續十年未被發現，問題便不能停留在「人員犯錯」的層次，而必須回到制度設計、管理監督與公司治理的層次來檢視。 真正的內控，不只要「有制度」，更要「看得到控制」 制度都在，為什麼風險仍然持續發生？ 回到本文開頭的命題：合庫銀行並非沒有制度，該行內部控制作業手冊訂有信用卡會計作業控制重點，也訂有員工輪調施行要點—制度都在，表面上一應俱全。 真正缺少的，是責任、證據、流程與系統控制 真正讓6,334件案件長期未被有效檢驗的，不是制度的缺席，而是控制沒有真正落實於責任、人員、證據、流程與資訊系統：職務分工沒有形成有效牽制，文件銷毀前沒有確認案件是否結案，輪調沒有真正形成風險隔離，稽核也沒有將相關控制重點轉化為可驗證的查核程序。 控制有效性的最後一道門檻，是「可驗證」 這其實指向一個更根本的概念：一套成熟的內部控制，不只要能「執行」，還必須能「被驗證」—沒有紀錄，就無法驗證；無法驗證，就很難證明控制曾經有效運作。 從「有制度」走向「有證據」 這正是本案給所有治理實務工作者最深刻的啟示：制度存在，只是內部控制的起點；真正有效的執行，才是控制發揮作用的開始；經得起驗證，才是控制有效落實的證明。 稽核要找的，不只是制度，而是控制實際發生的證據 真正有效的內部控制，不是讓稽核人員在查核時「找得到制度」，而是讓組織在風險發生時「看得到控制」—明確權責並有效分工，看得到誰在做、做了什麼、何時完成、誰在覆核、留下什麼證據，以及當異常出現時，誰負責追蹤到底。 制度寫在紙上，控制必須發生在流程裡 因為制度可以寫在紙上，控制卻必須發生在流程裡；制度可以宣稱已經建立，控制則必須經得起驗證。6,334件疑義帳款案，提醒所有企業治理者重新檢視「控制是否真的發生」，這才是本案最值得警惕的一課。 ＊作者為國立中正大學企業管理學系博士研究生
评论 (0)