合約的風險分配與內部控制

合約的風險分配與內部控制

風險登錄與處理教你把風險寫成一張表，算出期望損失，並在避免、降低、移轉、接受四種處理方式之間做選擇。那一課停在「決定要做什麼」。這一課處理下一個問題：決定之後，靠什麼讓它真的發生？

答案有兩個，而且它們是同一件事的兩面。對外，靠合約——它是把風險分配給另一個法律主體的工具。對內，靠內部控制——它是讓公司自己的承諾與義務不依賴某個人的記性與良心而成立的系統。合約分配風險，內控執行分配。任何一邊失效，風險就會安靜地回到你身上。

本課沿用上一課的教學公司「宏茂科技」：一家十二人的軟體公司，經營一個消費者 App，幣別為元。所有金額、比率與筆數都是為教學建構的 example，不是任何真實公司的資料，也不是任何地區的法定標準。

必須先講清楚一件事，本課會反覆回到它：合約條款的效力不是全球通用的。責任上限能不能被承認、補償條款寫到什麼程度會被限縮、哪些保險是強制的、公司要保存多久的帳簿與憑證、什麼規模的公司必須接受法定查核——這些全部因司法管轄區與交易型態而不同。本課教的是一組必須在當地問清楚的問題與一套可以自己驗算的算術，不是任何地方的法律規則。

核心問題

本課要回答三個彼此相扣的問題。

第一，一份合約把哪些風險分配給了誰？ 商機資格、提案與合約已經處理過「合約在分配什麼」的十二類問題清單，本課不重複那份清單，而是把其中最貴的那幾類拆開來看：責任上限、補償、保險要求、保證、不可抗力，以及關係結束時會發生什麼。這六項決定的不是這筆生意賺多少，而是出事時你會不會活下來。

第二，簽完之後由誰管？ 一個沒有人在管的合約組合，本質上是一份沒有人寫下來的風險登錄表：權利到期了沒有人知道，自動續約生效了沒有人擋，對方違約了沒有人發現。這一節要回答的是誰有權簽、簽完放哪裡、誰追日期、誰偵測對方違約。

第三，在一家人不夠多的公司裡，內控要怎麼做才不是自欺欺人？ 教科書上的職能分離（segregation of duties）預設公司有足夠的人可以分。十二個人的公司分不動。本課不會假裝分得動，而會教補償性控制（compensating control）：在人數不足的前提下，用哪些代替方案把曝險壓到可接受的水準，並且把「可接受」算成數字。

完成標準是三個可檢查的動作：讀者能對一份合約逐項填出六個風險維度的實際內容；能寫出一張含金額門檻的核准階梯，並指出它可以被怎麼規避、對應的反制控制是什麼；能用曝險算術比較兩個控制方案，得出年度淨效益並說明假設。

先定義本課的用語。內部控制（internal control） 是為了讓資產受到保護、紀錄可靠、營運有效、並符合適用規範而設計的一組程序與制度。職能分離（segregation of duties） 是把授權、記錄、保管三種職能交給不同的人。補償性控制（compensating control） 是在理想控制無法實施時，用來達成相近目的的替代控制。預防性控制（preventive control） 在錯誤或舞弊發生前擋住它；偵測性控制（detective control） 在事後把它找出來；矯正性控制（corrective control） 在找出來之後修復損害並防止重演。控制環境（control environment） 是使上述控制真正被遵守的組織條件。曝險（exposure） 是在偵測到之前，一個弱點可能累積出的最大損失。責任上限（liability cap） 是合約約定的賠償金額上限。補償條款（indemnity） 是一方承諾就特定第三人求償對另一方負責的約定。不可抗力（force majeure） 是約定在特定不可控事件發生時免除或延緩履約的條款。

完整解釋

合約的六個風險維度

商務條款（做什麼、多少錢、何時交）決定這筆生意的價值；風險條款決定這筆生意的變異數。多數創辦人會逐字看價格，卻直接跳過下面六項，而這六項才是把公司推向存亡邊緣的地方。

責任上限。 一份年費 600,000 元的合約，如果責任沒有上限，理論上的賠償金額與合約金額無關——它取決於對方主張的損失。常見的談判錨點是把上限設在「前十二個月已付費用」，也就是本例的 600,000 元。要注意兩件事：其一，上限通常會排除某些類型（例如與智慧財產侵權、保密義務或人身傷害有關的責任），被排除的部分等於沒有上限；其二，上限條款在特定情形下是否會被承認，是高度地區相依的問題。

補償條款。 責任上限談的是「我對你的損失負責到多少」，補償談的是「第三人來告你的時候我要不要承擔」。這是兩件不同的事，卻經常被寫在同一段裡。補償條款危險的地方在於它的觸發點不在你手上：你的客戶被第三人控告，而你必須付錢。因此檢查補償條款要問三個問題——觸發事由有多寬、補償範圍包不包含律師費與和解金、以及它有沒有被納入責任上限。第三個問題最貴：一個「不受上限限制的補償條款」會讓前面談的上限失去意義。乾淨的智慧財產鏈呈現的正是這一類補償責任在什麼條件下會被觸發，以及事前的權利歸屬整理如何改變結果。

保險要求。 商業合約經常要求對方投保並提出保單證明。這一項的實務意義是：它把責任上限變成可回收的。一個沒有資力的對造，即使合約寫著他要賠 5,000,000 元，你也拿不到。保險把賠付能力從對方的資產負債表移到保險公司的資產負債表。相對地，當對方要求你投保時，你要確認自己買得到、買得起，以及承保範圍是否真的涵蓋合約要求的事項——這一整塊在保險、執照與專業協助會完整處理。

保證與服務水準。 保證（warranty）是你對品質、功能或可用率所作的承諾，服務水準（service level）是它的量化版本。這裡有一個常被忽略的算術：一個「月可用率 99.9%」的承諾，對應的每月允許中斷時間約為 43 分鐘（以 30 天計，30 × 24 × 60 × 0.1% = 43.2 分鐘）；99.5% 則約為 216 分鐘（30 × 24 × 60 × 0.5% = 216 分鐘）。多出來的 0.4 個百分點，代表的是每月多出約 173 分鐘的容錯空間。承諾一個自己做不到的數字，是把營運風險換算成違約風險。

不可抗力。 國際商會（International Chamber of Commerce）在其不可抗力與艱困條款的說明中指出，成功主張不可抗力的一方將被免除履約義務，而不可抗力所指的是使履約成為不可能或不切實際的事件；相對地，處於艱困（hardship）的一方有權要求重新協商合約，在特定情形下並可請求依情事變更調整合約（fact，見資料來源）。同一份說明也明白表示，這類標準條款的目的之一，是協助當事人克服「處理不同法律體系相關規定的困難」（fact）。這句話本身就是本課的核心提醒：需要一套中立的標準條款，正是因為各地的規則並不一致。

終止與退出。 這是最常被寫得最短、卻最常出事的一段。要問的是：誰可以在什麼情況下終止、要提前多久通知、終止當下已預付但未使用的費用怎麼處理、你的資料怎麼取回、以什麼格式、多久之內取回、以及對方多久之後必須刪除。SaaS 型的關係尤其如此——真正的風險不是「他不讓我走」，而是「我走的時候帶不走自己的資料」。這一項與隱私與資訊安全所談的資料處理義務直接相接。

合約組合是一份沒有人寫的風險登錄表

上面六項在簽署當天被談定，然後——多數小公司就到此為止。文件進了某個人的電子郵件附件，或某個雲端資料夾的某一層，然後開始老化。

老化會產生四類具體損失，而且它們都不是法律問題，是營運問題。

權限問題：誰有權簽什麼。 沒有寫下簽署權限的公司，實際狀態是「任何人都可以代表公司作出任何承諾」。這不是誇張——一位業務為了成交，同意了一個沒有責任上限、含不受限補償、且自動續約三年的條款，公司在他按下寄出鍵的那一刻就承擔了它。簽署權限必須是一張寫下來的階梯，且與付款核准階梯用同一套邏輯（下一節會把這張階梯算給你看）。

存放問題：簽好的合約在哪裡。 判準很簡單：如果負責人今天離職，公司能不能在一小時內找齊所有有效合約的最終簽署版？ 做不到，就代表合約組合的實際狀態是未知的。可行的最小做法是一個資料夾加一張索引表，欄位包括對造、生效日、到期日、自動續約與否、終止通知期、責任上限金額、以及檔案連結。

期限問題：誰追日期。 自動續約條款的殺傷力來自它的預設值——你什麼都不做，它就生效。一份需要提前 60 天通知才能不續約的合約，如果沒有人在第 61 天之前想起它，公司就自動再被綁一年。這是所有合約風險裡最容易防、也最常失守的一項，因為它需要的不是法律知識，而是一個有人負責的行事曆。

偵測問題：誰發現對方違約。 合約是雙向的。對方沒有達到承諾的服務水準、沒有依約提供報表、沒有維持約定的保險——如果沒有人在看，這些違約不會自己浮出來。而多數合約的救濟權利有時間限制：知道了不主張，過一段時間可能就主張不了。因此「誰每季檢查一次對方的履約狀況」必須是一個有名字的答案，這與職責歸屬所談的單一負責人原則是同一件事。

三種控制：預防、偵測、矯正

控制不是一個籠統的詞，它有三種，成本與效果都不同。

預防性控制在事情發生前擋住它。例子：付款系統設定「超過 50,000 元必須兩個帳號核准才能送出」；新增供應商必須附上對方的登記文件與銀行帳戶證明；生產環境的資料庫權限只開給兩個人。預防性控制的特徵是它會擋住合法的交易，因此它有摩擦成本，而摩擦成本正是它被繞過的原因。

偵測性控制在事後找出它。例子：每月銀行對帳；每月列印新增供應商清單交由創辦人逐筆確認；每季比對薪資名冊與人事名冊；每月檢視「金額剛好落在核准門檻下方」的付款筆數。偵測性控制的特徵是它不阻止任何事，它的價值完全來自縮短「發生到發現」的時間——而下一節會證明，這段時間就是曝險金額的乘數。

矯正性控制在發現之後修復並防止重演。例子：發現重複付款後向對方追回；發現權限過大後回收權限並補上覆核；發生事故後更新流程文件並指定新的負責人。矯正性控制最容易做一半——錢追回來了，但造成它的權限設定沒有改，於是同一件事會再發生。

三者的搭配原則是：能預防的不要只靠偵測，不能預防的一定要偵測。 有些事情本質上無法預防（例如對方的財務狀況惡化），那就只能靠偵測性控制縮短反應時間。

職能分離，以及十二個人做不到的時候

古典的職能分離要求把三種職能分開：授權（決定這筆支出可以發生）、記錄（把它記進帳）、保管（實際持有現金、印章或銀行帳戶的操作權限）。理由是純粹結構性的：一個人若同時擁有這三者，他既能讓一筆假交易發生，又能把它記成真的，還能把錢拿走，而且不需要任何人配合。

問題在於，一家十二人的公司通常只有一位財務人員，可能還兼行政。三種職能分給一個人是常態，不是例外。這時候有兩種錯誤的反應：一種是照抄大公司的控制手冊，寫出一份公司實際上做不到的文件——抄來的合規範本呈現的正是這個結果；另一種是宣布「我們公司太小，不需要內控」，然後把整套控制換成對某個人的信任。

正確的反應是承認限制，然後設計補償性控制。以下四種在小公司可行，成本低，且效果可以驗算：

創辦人親自覆核銀行對帳單。 關鍵字是「親自」與「原始來源」。要看的不是財務人員整理出來的對帳表，而是直接從銀行取得的原始對帳單或直接登入網銀查看。差別在於，覆核經手人自己編製的報表，等於請他自己檢查自己。

新增供應商與變更銀行帳戶必須由第二個人書面確認。 這是所有小公司控制中投入產出比最高的一項，因為虛設供應商與變更收款帳戶是兩類最常見的手法，而它們都必須先經過「建立或修改一筆主檔資料」這個動作。

強制連續休假與職務代理。 許多需要持續掩蓋的手法，會在經手人連續兩週不在、由他人代理同一份工作時暴露出來。這項控制的直接現金成本接近零——假期本來就要放——真正的代價是代理人的時間，而下一節會把它算出來。

權限輪調與定期權限盤點。 每半年列出每個系統的每個帳號有什麼權限，逐個確認「這個人現在的工作還需要這個權限嗎」。離職與轉調造成的權限累積，是最常見也最容易清掉的弱點。

要誠實地說一件事：補償性控制不等於職能分離，它只是把曝險壓低。承認這個差距，比宣稱自己已經合規更有用。

控制環境：讓控制真的存在的那個東西

寫下來的控制與實際存在的控制是兩回事。國際金融公司（International Finance Corporation）在其公司治理評估方法中，把「控制環境」列為六個評估面向之一，並將其涵蓋範圍描述為內部控制制度、內部稽核職能、風險管理制度與法令遵循職能，用以確保資產受託管理、營運有效、報導正確與符合法規（fact，見資料來源）。同一份方法論也明白表示，公司治理沒有一體適用（no “one-size-fits-all”）的做法，並針對上市公司、家族企業、國營事業、金融機構、基金與中小企業提供不同的框架（fact）。這一點對小公司特別重要：它給了你不照抄大公司手冊的正當理由，但沒有給你不設控制的理由。

控制環境在小公司的具體判準只有一條：這道控制在最急的那一筆交易上，有沒有被繞過？

如果雙重授權的規則在平常都遵守，但每次遇到「客戶今天下班前一定要收到」的情況就由創辦人口頭放行，那麼這道控制的實際內容是「除了重要的時候以外都有效」——而舞弊與錯誤恰恰集中在重要的時候。更糟的是示範效應：團隊學到的規則不是寫在文件上的那條，而是「夠急就可以」。

因此控制環境不是文化口號，它是可觀察的：例外由誰核准、例外有沒有被記錄、每季有幾件例外、例外是不是集中在同一個人或同一類交易。這與績效、激勵與文化所談的機制完全一致——當獎金只綁在成交金額上，繞過控制就成了理性行為，而懲罰繞過控制的個人不會改變這個誘因結構。要改變的是誘因與例外的成本，不是宣導。

舞弊三角：決定控制放在哪裡的鏡頭

反舞弊稽核師協會（Association of Certified Fraud Examiners）對舞弊三角的表述是：當三個要素同時存在——無法對外訴說的財務需求（unshareable financial need）、認知到的機會（perceived opportunity）與合理化（rationalization）——一個人高度可能從事舞弊行為（fact，見資料來源）。同一份說明也把「職業舞弊（occupational fraud）」定義為組織的員工、經理人或高階主管欺騙組織本身（fact）。

這個模型對設計控制的用處，在於它指出三個要素中只有一個是公司能可靠地控制的。財務壓力屬於個人生活，公司既無從得知也不應調查；合理化屬於個人認知，公司無法直接改變。機會是唯一可以用制度移除的：權限、門檻、覆核、對帳、輪調——每一項都在縮小「一個人可以獨自完成並掩蓋一件事」的範圍。

這也解釋了為什麼「我們只雇用誠實的人」不是一道控制：它試圖處理的是三個要素中公司最無法驗證的那兩個。

失敗替代方案

失敗替代方案：把財務完全交給一位長期共事、值得信任的同事，並以「不查他」作為信任的表達。

這是小公司裡最普遍、也最容易被理解的安排。它當時為何看起來合理？三個理由，而且三個都是真的。

第一，它確實省下了成本。多一道覆核就是多一份時間；創辦人的時間是公司最稀缺的資源，把它從對帳單上省下來投到產品或客戶身上，在任何一個月份看起來都是對的取捨。

第二，信任確實提高了效率。不必解釋、不必等核准的流程確實跑得快，而長期共事累積的默契也確實降低了溝通成本。這不是錯覺。

第三，這符合小公司的自我認知。「我們是一起打拚的夥伴，不是互相監視的官僚」——這句話在團隊裡幾乎沒有人會反對，而反對的人會顯得在指控同事。

它在哪個假設下失效？失效的假設是「控制的目的是防範壞人」。控制的目的其實是移除機會，而機會與品格是兩個獨立的變數。這個區別帶來一個反直覺但重要的結論：控制保護的首先是誠實的人。

想像一件事：公司發現一筆金額對不上。如果只有一個人有權限建立供應商、輸入付款、操作網銀、並編製對帳表，那麼無論真相是系統錯誤、供應商重複請款還是單純的手誤，能夠說明整件事的只有他一個人，而沒有任何獨立紀錄可以支持他的說法。他在結構上無法自證清白。反過來，如果新增供應商需要第二個人書面確認、對帳單由創辦人直接從銀行取得，那麼同一筆差異可以被獨立追溯到具體環節，這位同事不但不會被懷疑，還會有紀錄替他說話。沒有控制的環境，把一個誠實的人放在一個他無法為自己辯護的位置上。

除了這個結構問題之外，還有一個純粹的營運事實：把三種職能集中在一個人身上，公司同時承擔了單點失效的風險。他生病、離職或發生意外，公司會在最需要付款的那一週失去付款能力，而這與現金流與營運資金所談的流動性風險會在同一時間疊加。

還要指出一項與時間有關的結構特性。ACFE 對 143 個國家、2,402 件職業舞弊案件的研究顯示，典型案件在被發現前持續了 12 個月；而 43% 的案件是在有人通報之後才被發現，其中超過一半的通報來自員工（fact，見資料來源）。這兩個數字要小心解讀：它們來自已被調查的案件樣本，不能直接當成任何一家公司的發生機率，也不能推論成任何個人的傾向。它們支持的只是一個結構性判斷——發現的主要途徑不是自動化控制，而是有人說出來；因此除了流程控制之外，一條真正有人會用的內部通報管道，是投入產出比很高的一項安排。

如何提早發現這個替代方案已經失效？四個訊號。其一，這個角色從不休長假，或休假時仍每天處理付款。其二，對帳表由經手人自己編製，且沒有第三人看過原始對帳單。其三，例外核准集中在同一個人身上，且例外沒有被記錄。其四，廠商或客戶的查詢會被直接導向同一個人，其他人不知道往來狀況。任何一項成立，都該回頭重做這個安排——而且重做的說法應該是「我要把制度補起來，讓你不必為說不清楚的事負責」，不是「我要查你」。

逐步推導

以下全部使用宏茂科技的教學數字，幣別為元。

共同假設：公司每月付款約 40 筆，平均金額 25,000 元，每月付款總額約 1,000,000 元；一年 12 個月、250 個工作日；一般員工的充分負擔費率為 800 元／小時，創辦人為 2,500 元／小時（fully-loaded，含薪資與相關成本分攤，是本例設定的假設）。目前的狀態是：一位財務專員可以獨自建立供應商主檔、輸入付款、操作網銀送出，銀行對帳每季一次且由同一人執行。

一、量化目前的曝險

第一步：定義曝險。 曝險不是期望損失，它是在被發現之前可能累積的金額。

曝險 = 每月可能流失金額 × 發現前的月數

每月可能流失金額 = 單筆金額 × 每月筆數

第二步：設定參數並說明來源。 假設虛設供應商的單筆金額為 28,000 元（設在接近平均付款金額，以免在往來明細中顯得突兀），每月 2 筆。發現前月數取 12 個月——這個 12 是參照 ACFE 對職業舞弊案件的中位數（fact），用來當作「在沒有月度偵測性控制時，這段時間有多長」的外部錨點，不是宏茂科技自己的資料，也不代表這件事會發生。

每月可能流失金額 = 28,000 元／筆 × 2 筆／月 = 56,000 元／月

目前曝險 = 56,000 元／月 × 12 月 = 672,000 元

單位檢查：(元／筆) × (筆／月) = 元／月；(元／月) × 月 = 元。正確。 交叉檢核（換一個乘法順序）：28,000 × (2 × 12) = 28,000 × 24 = 672,000 元。一致。

二、方案 A：只加雙重授權門檻

假設門檻設在「單筆超過 50,000 元須兩人核准」。

被檢驗的付款單筆金額是 28,000 元，低於門檻。因此這道控制對這個情境完全沒有作用：

方案 A 曝險 = 56,000 元／月 × 12 月 = 672,000 元（與現況相同）

這是本節第一個重要結論：門檻高於交易的自然金額時，門檻等於不存在。而交易的自然金額是公開資訊——任何一位處理付款的人都知道公司平常付多少錢。

把門檻降到 10,000 元會怎樣？同樣的每月 56,000 元必須拆成 56,000 ÷ 10,000 = 5.6 → 至少 6 筆才能全部落在門檻以下。曝險金額本身沒有變，但筆數變成三倍（從 2 筆／月 變成 6 筆／月），而筆數是偵測性控制看得到的東西。也就是說，降低門檻不會直接減少曝險，它的作用是把攻擊從金額轉移到次數，讓下一道偵測性控制更容易發現。這兩道控制必須搭配使用，單獨任何一道都不夠。

三、方案 B：加上每月供應商清單覆核

新增一道偵測性控制：每月由創辦人列印當月新增與異動的供應商清單，逐筆核對登記文件與銀行帳戶，並簽名留存。

發現前月數會變成多少？ 一筆虛設供應商必須先被建立，才能被付款。若覆核在每月月底進行，最壞情況是月初建立、月底被看到（約 1 個月），加上從發現異常到確認並停止的時間，本例假設平均 1.5 個月。

方案 B 曝險 = 56,000 元／月 × 1.5 月 = 84,000 元

曝險下降 = 672,000 − 84,000 = 588,000 元

交叉檢核：1.5 ÷ 12 = 0.125，故剩餘曝險應為原值的 12.5%：672,000 × 0.125 = 84,000 元；下降比例 87.5%：672,000 × 0.875 = 588,000 元。兩條路徑一致。

四、把曝險換成期望損失，並算控制的淨效益

曝險是「發生的話會有多大」，還要乘上「發生的可能性」才是期望損失。沿用上一課的公式：

期望損失 = 可能性 × 影響金額

假設可能性為 5%／年。 必須明說：這個 5% 是本例設定的假設（inference），不是從 ACFE 的統計推導出來的。前一節引用的 12 個月是「已發生案件持續多久」，那份資料的樣本是已被調查的案件，無法用來推估某一家公司在某一年會不會發生。任何把樣本統計直接當成個別機率的做法都是錯的。

現況期望損失 = 5% × 672,000 = 33,600 元／年 方案 B 期望損失 = 5% × 84,000 = 4,200 元／年 期望損失下降 = 33,600 − 4,200 = 29,400 元／年

交叉檢核：5% × 588,000 = 29,400 元／年。一致。

控制成本。 創辦人每月覆核 1.5 小時：

年度時間 = 1.5 小時／月 × 12 月 = 18 小時／年 年度成本 = 18 小時 × 2,500 元／小時 = 45,000 元／年

只算舞弊的淨效益 = 29,400 − 45,000 = −15,600 元／年

在期望值上，這道控制是虧的。 如果就此停下，結論會是「不要做」——而這個結論是錯的，原因有兩個。

第一，控制不只擋舞弊，它主要在擋錯誤。 同一份供應商清單覆核與月度對帳，也會抓到重複付款、付到已停用的舊帳戶、以及金額輸錯。假設這類事件每年 4 件、平均 25,000 元；在目前每季對帳的節奏下，平均只能追回 20%；改成月度覆核後，因為發現得早，平均可追回 70%：

錯誤面年度效益 = 4 件 × 25,000 元／件 × (70% − 20%) = 100,000 × 0.5 = 50,000 元／年

單位檢查：件 × (元／件) × 比率 = 元。正確。

合計年度效益 = 29,400 + 50,000 = 79,400 元／年 淨效益 = 79,400 − 45,000 = 34,400 元／年

交叉檢核：效益 79,400 減成本 45,000，若成本上升到 79,400 元／年（即創辦人每月覆核時間增至 79,400 ÷ 2,500 ÷ 12 = 2.65 小時）才會打平。目前 1.5 小時遠低於這個打平點，方案穩健。

第二，期望值是風險中性的，而公司不是。 這一點上一課已經證明過：一個現金有限的公司，面對可能終結公司的損失時，不應該用期望值決策。672,000 元對宏茂科技不是致命金額，所以這裡期望值仍然是合理的起點；但若同一個弱點的曝險是 6,720,000 元，即使期望損失計算得出「不划算」，仍應該買下這道控制。

五、方案 C：強制連續休假（幾乎免費的補償性控制）

規則：每位掌握付款、收款或主檔維護權限的人，每年至少兩次連續休假滿十個工作日，期間由指定代理人執行同一份工作。

發現前月數。 需要持續掩蓋的手法，在代理期間有很高機率暴露。若每半年一次，最長掩蓋期為 6 個月，平均 3 個月：

方案 C 曝險 = 56,000 元／月 × 3 月 = 168,000 元 曝險下降 = 672,000 − 168,000 = 504,000 元（下降 75%）

交叉檢核：3 ÷ 12 = 0.25；672,000 × 0.25 = 168,000 元。一致。

成本。 直接現金成本為零（假期本來就存在）。真正的成本是代理人的時間：假設代理期間每次需投入 40 小時：

年度成本 = 40 小時／次 × 2 次／年 × 800 元／小時 = 64,000 元／年

期望損失下降 = 5% × 504,000 = 25,200 元／年

只算舞弊，方案 C 同樣不划算（25,200 − 64,000 = −38,800 元／年）。但方案 C 帶來一項方案 B 沒有的效益：它同時是營運持續性控制。它強迫公司證明「這份工作不只一個人做得了」，並在真正發生離職或傷病時避免付款停擺。這項效益無法只用舞弊期望損失衡量，這正是為什麼控制清單不能只按期望損失排序。

方案 B 與方案 C 同時採用時，發現前月數取兩者的較小值：min(1.5, 3) = 1.5 個月，曝險仍為 84,000 元。也就是說，兩道控制的效果不相加——第二道控制的邊際價值來自它涵蓋第一道涵蓋不到的情境（例如覆核者本人被蒙蔽、或問題不在供應商主檔而在收款端），不是來自把數字再乘一次。設計控制時把效果相加，是最常見的高估。

六、核准權限階梯，以及它會被怎麼規避

先寫出階梯。門檻適用於單筆金額：

單筆金額（元）	核准層級
10,000 以下	部門主管
10,001–50,000	部門主管 + 財務負責人（雙重授權）
50,001–300,000	創辦人／總經理
300,000 以上	董事會決議

規避方式一：拆到下一階。 一筆 288,000 元的年度雲端服務採購，本應由創辦人核准。拆成 6 筆各 48,000 元：

6 × 48,000 = 288,000 元 ✔ 每一筆都落在 10,001–50,000 這一階，創辦人從未看到這筆採購。

規避方式二：拆到最底階。 拆成 30 筆各 9,600 元：

30 × 9,600 = 288,000 元 ✔ 每一筆都只需要部門主管核准。

要注意：拆單未必出於惡意。更常見的動機是避開麻煩——不想等創辦人有空、不想寫董事會提案。動機不同，結構後果相同：核准階梯失效。

反制控制一（預防性）：以滾動期間的累計金額適用階梯，而非單筆金額。

規則改為：同一供應商在滾動 90 天內的累計金額適用上表。驗算兩種規避方式：

• 6 筆 48,000 元若落在同一個 90 天內，累計 288,000 元 → 落入 50,001–300,000 階，須創辦人核准。規避失敗。
• 30 筆 9,600 元同理，累計 288,000 元 → 須創辦人核准。規避失敗。

那麼把時間拉長呢？ 要讓每個 90 天期間的累計金額都留在 50,000 元以下，需要的期間數為：

288,000 ÷ 50,000 = 5.76 → 至少 6 個期間

6 × 90 = 540 天 ≈ 18 個月

交叉檢核：6 個期間各 50,000 元上限，總額上限 6 × 50,000 = 300,000 ≥ 288,000 元，成立。

也就是說，累計規則把規避的代價從「拆成幾筆」提高到「把一筆本來要立刻買的採購拖 18 個月」。這通常會使規避本身失去意義——這正是好的預防性控制該做的事：不是讓規避變成不可能，而是讓規避比守規則更貴。

反制控制二（偵測性）：門檻下緣的分佈檢查。

每季列出所有付款，統計落在門檻正下方與正上方的等寬區間筆數。假設全年 480 筆付款（40 筆／月 × 12 月 = 480 筆），統計 50,000 元 這道門檻：

金額區間（元）	筆數
45,000–50,000	18
50,001–55,000	2

若沒有任何人針對門檻調整金額，兩個等寬區間（各 5,000 元寬）的筆數應該大致相當。18 比 2 的差距，是一個值得追查的訊號。

必須明確標示：這是 inference，不是證據。合理的無害解釋至少有兩個——供應商知道公司的預算上限而把報價貼著上限開；或公司的內部預算本身就設在 50,000 元。偵測性控制產生的是「該問問題的清單」，不是結論。把訊號當成結論，是內控最容易造成的傷害。

同一套邏輯適用於簽約權限。 把上表的「單筆金額」換成「合約年度總價值」，並額外規定：無論金額多少，只要合約含有下列任一項，就必須提高一階核准——不受責任上限限制的補償條款、超過三年的期間、自動續約且終止通知期超過 90 天、或以對方所在地為準據法。金額不是唯一的風險維度，某些零元的合約（例如免費試用附帶的資料處理條款）承擔的風險遠大於一筆五萬元的採購。

常見誤解

「內控是大公司的事，我們十幾個人不需要。」 這句話混淆了控制的形式與控制的目的。大公司需要的是內部稽核部門、控制矩陣與定期測試，那確實與十二人公司無關；但「一個人不能同時建立供應商、付款並對帳」這件事，與公司規模無關，它是結構問題。事實上小公司的處境更差：人數少使職能無法分離，而現金部位薄使同樣金額的損失更致命——一筆 672,000 元的累積損失，對大公司是註腳，對宏茂科技可能是好幾個月的跑道。正確的結論不是「規模小所以不需要」，而是「規模小所以要用便宜的補償性控制」：月度對帳、供應商主檔雙人確認、強制休假，這三項的年度成本在本課的算法下合計不到 110,000 元。IFC 的方法論本身也把中小企業與上市公司分開處理，並明說治理沒有一體適用的做法（fact）——這支持「形式要調整」，不支持「可以不做」。

「簽了合約就沒事了。」 合約是一份營運文件，不是歸檔文件。它的多數條款需要有人在日常追蹤才會產生效果：終止通知期、自動續約日、調價通知期限、對方的保險維持義務、服務水準的實際達成率。錯過通知期，自動續約會照原條件生效；不追蹤對方的履約，違約會累積到你想主張時已經來不及。更根本的是，合約分配風險但不消滅風險：責任上限只在對方有資力或有保險時才換得到錢，而勝訴與拿到錢是兩件事。這也是為什麼保險要求條款的重要性經常被低估——它決定了紙上的責任上限能不能變成實際的回收。

「信任的人不需要控制。」 這個信念的錯誤在於它把控制理解成對品格的判斷。控制處理的是機會，而機會與品格是兩個獨立的變數。ACFE 的舞弊三角把三個要素列為財務壓力、認知到的機會與合理化（fact）；其中壓力與合理化屬於個人生活與認知，公司既無從查證也不應調查，機會是唯一能用制度移除的。更重要的是方向問題：控制保護的首先是被信任的那個人。當帳目出現差異而只有一個人握有全部權限與紀錄時，即使他完全清白，也沒有任何獨立紀錄能替他說話。有覆核、有第二人簽名、有原始對帳單的環境，讓誠實的人無法被指控。把控制說成「我要查你」是把好事講壞了；正確的說法是「我要讓你不必為說不清楚的事負責」。

「控制會拖慢生意。」 部分成立，但幾乎總是被高估，而且成立與否是可以算的。本課的月度供應商覆核，成本是創辦人每月 1.5 小時；雙重授權對每筆付款增加的操作時間以分鐘計。真正拖慢生意的通常不是控制本身，而是設計得很差的控制：門檻設得太低，使九成的日常交易都需要兩人核准；或核准者只有一個人且經常不在，使所有事情卡在同一個瓶頸。這兩種問題的解法是重新設計門檻與指定代理核准人，不是取消控制。判準是算術：把控制的年度時間成本算出來，與它降低的期望損失與可追回的錯誤金額相比。本課的方案 B 得到淨效益 34,400 元／年，而方案 C 只算舞弊則是負的——兩個結論都要接受，這才是把控制當成投資決策而不是道德決策。

「有寫在文件上就算有控制。」 一道每次遇到急件就被口頭放行的雙重授權規則，實際內容是「除了重要的時候以外都有效」，而錯誤與舞弊恰好集中在重要的時候。判斷控制是否真實存在的方法是看例外：例外由誰核准、有沒有被記錄、每季幾件、是否集中在同一個人或同一類交易。如果沒有人統計例外，那麼公司對自己的控制狀態一無所知。允許例外本身沒有錯——完全沒有例外的規則通常是設計過嚴——錯的是例外不留痕跡。

「期望損失最高的控制要先做。」 排序工具不能只有一個。控制清單至少要看三件事：期望損失的下降、控制本身的成本、以及這個弱點的最壞情況是否會終結公司。本課的方案 C 在期望損失上不划算，卻同時解決了單點失效的營運持續性問題，而那項效益不會出現在舞弊期望損失的算式裡。同樣地，資料外洩這一類低機率但可能致命的風險，正是上一課說明「移轉」與「避免」為何要與「降低」並列的原因。

「兩道控制加起來效果就是相加。」 本課第五節算過：方案 B 把發現前月數壓到 1.5 個月，方案 C 壓到 3 個月，同時採用時取較小值 1.5 個月，曝險不會再降。兩道控制若涵蓋同一個情境，第二道的邊際價值接近零；它的價值來自涵蓋第一道涵蓋不到的情境。設計控制時把效果相加，會系統性地高估防護程度，並讓公司誤以為自己已經安全。

實務檢查表

• 對每一份年度價值超過公司月營收 10% 的合約，逐項填出六個風險維度的實際內容：責任上限金額、補償條款的觸發事由與是否受上限限制、保險要求、保證與服務水準的具體數字、不可抗力涵蓋事件、終止條件與資料取回方式。任一格填不出來即代表尚未讀懂該合約。
• 對每一份含補償條款的合約，明確標出它是否被納入責任上限；未被納入者單獨列成一張清單，這是公司實際承擔的無上限風險。
• 建立一張合約索引表，欄位為：對造、生效日、到期日、是否自動續約、終止通知期天數、責任上限金額、負責人、檔案連結。完成條件是任何一位同事在一小時內能找齊所有有效合約的最終簽署版。
• 把索引表中的終止通知期日期，全部往前推該天數後排入共用行事曆，並指定一位有名字的負責人。完成條件是行事曆上每一份自動續約合約都有一則提醒。
• 寫下簽約權限階梯：以合約年度總價值分階，並加上四項不論金額都必須提高一階的觸發條件（不受上限限制的補償、期間超過三年、終止通知期超過 90 天、準據法在對方所在地）。公布給全公司。
• 寫下付款核准權限階梯，並把門檻的適用基礎從「單筆金額」改為「同一供應商滾動 90 天累計金額」。完成條件是規則寫進付款流程文件並在系統設定上生效。
• 列出目前每個人在財務、銀行、雲端與生產環境的權限，逐格標註授權、記錄、保管三種職能中的哪幾種。找出同時具備三種的人，若無法拆分，在其旁邊寫下對應的補償性控制。
• 實施新增供應商與變更收款帳戶的雙人書面確認，並保存確認紀錄。完成條件是最近一個月的所有主檔異動都能找到第二人的簽名。
• 由創辦人每月直接從銀行取得原始對帳單（或直接登入網銀）覆核，不使用經手人編製的對帳表；覆核後簽名留存。完成條件是連續三個月都有簽名紀錄。
• 訂出強制連續休假規則（每年至少兩次、每次連續十個工作日、由指定代理人執行同一份工作），並把代理人姓名寫進流程文件。
• 每季統計控制的例外件數：誰核准、什麼理由、金額多少、是否集中在同一人或同一類交易。完成條件是這張統計表存在且被檢視過。
• 每季執行一次門檻下緣分佈檢查：對每一道金額門檻，統計正下方與正上方等寬區間的付款筆數，比例明顯失衡者列入追查清單。追查結論必須寫下來，包含判定為無害的理由。
• 每半年做一次權限盤點，逐個帳號確認「這個人現在的工作還需要這個權限嗎」，並立即回收離職與轉調者的權限。
• 為每一項擬議中的控制算出三個數字：年度成本、期望損失下降金額、以及它能改善的錯誤回收金額。三者算不出來就不要導入，也不要僅憑期望損失排序——另外標註這個弱點的最壞情況是否會終結公司。
• 建立一條不經過財務負責人的內部通報管道（例如直接寄給創辦人的信箱），並讓全公司知道它存在。
• 完成 風險與智慧財產稽核，用自己公司的合約與付款資料重跑本課的兩組算術。

地區差異

本課的算術與結構性判斷跨地區成立，可以直接套用：曝險等於每月流失金額乘以發現前月數；門檻高於交易自然金額時等於不存在；累計期間規則會把拆單的代價轉換成時間；兩道涵蓋同一情境的控制效果不相加；職能分離的三職能結構；以及舞弊三角中只有機會是公司能控制的。這些是算術與結構性質，不依賴任何國家的法律。

但只要進入法律效果，答案就不是全球通用的，而且差異大到不能靠推論補齊。以下每一項都必須逐案查核（as-of 2026-07-31），本課不提供答案：

責任上限與免責條款的效力。 上限能否有效約定、能限縮到什麼程度、哪些類型的責任（例如故意、重大過失、人身傷害）不得排除、以及對造為消費者時是否適用另一套強制規則——各地差異極大。國際商會提供標準不可抗力與艱困條款的理由之一，正是當事人需要克服處理不同法律體系相關規定的困難（fact，見資料來源）；換言之，連國際層級的標準條款本身都是為了應對各地不一致而存在。

補償條款的可執行性。 補償的範圍、是否涵蓋律師費、以及在何種情形下會被限縮或認定無效，屬地區問題。

強制保險。 某些活動、行業或雇用關係在特定地區有法定投保義務，未投保可能導致罰則或責任加重。哪些是強制的、保額下限多少，必須在當地確認，相關判斷見保險、執照與專業協助。

法定查核與財務報告義務。 公司達到什麼規模或型態必須接受法定查核、必須編製哪些報表、由誰簽證，各地規則與門檻都不同，且經常修改。

帳簿憑證的保存年限與形式。 要保存幾年、可否僅以電子形式保存、電子簽章的效力如何——這些直接決定內控紀錄該怎麼留，而答案因地而異。

簽署形式與代表權。 誰在法律上有權代表公司簽署、是否需要用印、電子簽署是否有效、以及對方善意信賴表見代理時公司是否仍受拘束——這一類問題會直接決定「簽約權限階梯」在法律上有多少效果。公司對內的權限規則與對外的代表權不是同一件事。

個人資料與資訊安全相關的控制義務。 存取控制、日誌保存、事故通報的時限與對象，因地而異且更新頻繁；具體要求請對照隱私與數位服務的地區差異查核 jurisdiction 與 as-of 日期，機制面則見隱私與資訊安全。

智慧財產在合約中的歸屬預設值。 缺乏明文約定時，委外開發成果歸屬誰、以及僱傭關係下的成果歸屬，是預設規則問題而非談判問題，相關展開見智慧財產。

上述任何一項要落到自己的文件或流程上，都必須尋求當地合格的法律、會計或稅務專業人士意見，並以其判斷為準。本課出現的所有金額、比率、筆數、費率與工作日假設都是教學 example，不是任何地區的法定標準；ACFE 的統計金額以美元計算，僅作為結構性參考，不可換算後當成任何公司的預期損失。公司層級的日常追蹤與例外檢視，應併入治理節奏與失效所建立的會議與紀錄紀律。

資料來源

IFC Corporate Governance Methodology Tools（International Finance Corporation，accessed 2026-07-31）支持本課兩項主張。第一，該頁說明 IFC 以進程矩陣（Progression Matrix）從六個面向評估公司治理，其中「控制環境（Control Environment）」為獨立的一個面向，其涵蓋範圍為內部控制制度、內部稽核職能、風險管理制度與法令遵循職能，目的在確保資產受託管理、營運有效、報導正確與符合法規（fact）。本課據此把「控制環境」當成與個別控制並列的獨立層次，而不是控制的附屬品。第二，該頁明白表示公司治理沒有一體適用（no “one-size-fits-all”）的做法，並針對上市公司、家族企業、國營事業、金融機構、基金與中小企業提供不同框架（fact）。本課據此主張小公司應調整控制的形式而非放棄控制。該頁不涵蓋本課的任何數字或門檻設計。

Fraud 101: What Is Fraud?（Association of Certified Fraud Examiners，accessed 2026-07-31）支持本課對舞弊三角的表述：該頁載明，舞弊三角假設當無法對外訴說的財務需求、認知到的機會與合理化三個要素同時存在時，一個人高度可能從事舞弊行為（fact）；該頁並把職業舞弊定義為組織的員工、經理人或高階主管欺騙組織本身（fact）。本課從中導出的「三個要素中只有機會能被制度移除」是作者的推論（inference），該頁本身並未作此排序。

Occupational Fraud 2026: A Report to the Nations（Association of Certified Fraud Examiners，accessed 2026-07-31）是本課兩個外部參考數字的來源。該新聞稿載明，該研究涵蓋 143 個國家、2,402 件由舞弊稽核師調查的職業舞弊案件，總損失超過 34 億美元，每案損失中位數為 104,000 美元；典型案件在被發現前持續 12 個月；43% 的案件是在有人通報後才被發現，其中超過一半的通報來自員工（fact）。本課只把 12 個月用作「沒有月度偵測性控制時，發現前的時間有多長」的外部錨點，並在正文明白標示它不是宏茂科技的資料；43% 這項數字則支持「內部通報管道是高投入產出比的安排」這項判斷。必須強調：這些統計來自已被調查的案件樣本，不能用來推估任何個別公司在某一年的發生機率，也不能推論任何個人的傾向；本課使用的 5%／年 可能性是為教學設定的假設（inference），與該報告無關。

ICC Force Majeure and Hardship Clauses（International Chamber of Commerce，accessed 2026-07-31）支持本課對不可抗力與艱困的區分：該頁說明成功主張不可抗力的一方將被免除履約，而不可抗力所指的是使履約成為不可能或不切實際的事件；相對地，處於艱困的一方有權要求重新協商合約，在特定情形下並可請求依情事變更調整合約（fact）。該頁並說明這類標準條款的目的，是以統一的契約條款協助當事人克服處理不同法律體系相關規定的困難（fact）——本課引用這一點作為「合約條款效力不是全球通用」的直接佐證。該頁提供的是示範條款，不是任何地區的現行法律，也不決定任何條款在特定地區的可執行性。

四份來源皆為國際層級文件，均不涵蓋任何單一國家的契約法、公司法、保險強制規定、法定查核門檻或紀錄保存年限。宏茂科技的全部金額、筆數、費率、可能性與發現前月數，以及所有曝險、期望損失、拆單與累計期間的計算，都是作者依題設所作的算術推導（inference），可以逐步複驗，但不代表任何真實公司的實際數據。本課引用的統計金額以美元計，其餘教學金額以元計。