淺談“故宮失竊案”對內部控制建設的啟示

中國勞動關系學院 王 李

震驚中外的故宮失竊案留給世人的警示是意味深長的。據報道，故宮的安保硬件配備可謂壁壘森嚴，但這套堅不可摧、無懈可擊的防范體系卻未能阻止盜賊行竊。反思該事件，不難發現，忽略內部控制建設所造成的安保人員“心防”工事的潰堤，才是導致“故宮失竊”悲劇的根本原因。

一、故宮失竊案始末及其內部控制建設存在的問題分析

2011年5月8日上午，無業游民石柏魁在未購買門票的情況下混入故宮，并成功進入誠肅殿的香港“兩依藏珍選粹展”展廳。因事發當天北京降雨，石柏魁躲在展廳與西配房的夾道中直至天黑，并關閉西配房內供電系統總閘，破壞展廳玻璃及內部展板后進入展廳，盜取展柜中的展品9件。后由誠肅殿上房，攀爬上故宮內墻逃竄。在其逃跑途中，曾被故宮夜巡人員發現，見其形跡可疑，命令其蹲下并向上級報告，而石柏魁居然能夠逃離現場，并藏在一輛汽車底下躲過了搜查，利用鐵質護欄，爬上高約8米的故宮外墻，成功逃脫。在事發3天后，石柏魁于豐臺區友聯時代網吧上網時才被警方抓獲。故宮失竊案暴露出在內部控制建設方面存在以下問題:

第一，安保人員風險意識淡薄，安全警覺性差。在案件回放中，我們可以發現一個重要的環節，即“石柏魁在逃跑中曾被故宮夜巡人員發現，見其形跡可疑，命令其蹲下并向上級報告”，夜巡人員在特定的時間——夜里（已是閉館時間），在特定的地點——故宮（收藏大量珍寶），遇到形跡可疑的人，只是做了令其蹲下而不是將其控制并搜查的處理，導致其攜寶外逃。安全保衛人員麻痹大意的心態，直接造成展品失竊的案件后果。

第二，風險防控方案不完善。據了解，故宮的監控系統雖然可以實現24小時的全天監控，但現實的情況卻并未施實24小時監控，而是間歇監控。即監控攝像機僅在遇到特殊情況、報警器報警后才會打開。另外，從案件回放中“石柏魁破壞展廳玻璃及內部展板后進入展廳，盜取展柜中的展品9件”可以看出，所用展柜沒有報警設備，且展柜防擊打能力較弱。再者，從“石柏魁利用鐵質護欄，爬上高約8米的故宮外墻，成功逃脫”，不難發現，安防范圍存在盲點，紫禁城的墻城未加裝安防設施。

第三，風險控制措施執行存在重大缺陷。首先，入宮準入控制不嚴格。犯罪嫌疑人石柏魁在未購票的情況下居然可以從檢票口兩次混入故宮，檢票人員都未察覺。再者，報警處置措施執行不到位。“石魁躲在展廳與西配房的夾道中直至天黑，并關閉西配房內供電系統總閘”，即石柏魁在作案前將常規報警器電閘切斷，值守人員應當接到了“區域故障”的報警，但遺憾的是卻未按規定到現場查看。另外，閉館清場也存在疏漏。工作人員在執行每天例行清場時，僅關注了開放區域，未按規定對建筑地形復雜的區域進行細致查看。同時，日常安全檢查也存在一定的問題區:如對部分長期非開放區域的施工遺留物（電線、光纜、廢棄物品等）的檢查和清理力度不夠，為犯罪分子作案提供了便利。

第四，應急預案有效性不足。在可疑人脫離控制后的搜捕過程中，沒有做出與重大作案有關的預判，在四門緊閉的情況下，應及時對城墻布置防控和搜索。正是這項疏漏，直接導致了國寶的流失。并且在當晚搜尋未果后，也沒有進行全面檢查和展品清點，直到次日才發現有展品被盜，錯失了提升應急預案處置級別的最佳時機。

二、故宮失竊案對加強內部控制建設的啟示

通過上述的分析可以看出故宮失竊案并非偶然事件，其內部控制建設方面存在的問題對企業完善內部控制，不斷提高管理水平有很好的借鑒作用。其實，內部控制系統內容復雜、邊界相對模糊，再加上企業內、外環境的變化又會對其不斷提出新的要求，所以，建立較完善的內部制度本身就是一件很困難的事。同時，紙張上的規定不可能天然成為員工的有效行動，這需要通過機制設定來加以保證。所以企業應從以下幾方面加強內部控制建設:

第一，建設有生命力的內部控制文化并持續提升全員風險意識。有生命力的內部控制文化是內部控制的建立與完善的“活的靈魂”。企業可以通過培訓、案例教育、宣傳片等多種形式，不斷滲透制度文化、健全內控激勵措施，促進員工對內部控制理念、風險文化的理解和認同，強化全員風險意識、案防意識，持續保持對風險的警惕性、責任心和控制力，營造良好的內部控制氛圍，樹立把好風險每一關、過好風險每一天的觀念。其次，通過倡導和培育員工的制度觀、風險觀，促使員工養成“指示服從制度、信任不忘制度、習慣讓位制度”的良好習慣，使制度的“硬約束”，演化為員工對規則的自覺服從、對風險主動防范的“軟約束”，并對制度執行到位的員工實施考核激勵，并通過樹立典型做好宣傳與示范。

第二，加強規章制度建設以構建完善的內部控制制度體系。規章制度的建立對企業規范管理至關重要。強化“制度先行”、“內控先行”，明確崗位職責、操作流程和管理要求。應由專門部門牽頭，組織制度所涉及的部門進行商討，并協調相關部門意見，最終達成一致，可以提高規章制度的操作性與執行力。同時，還應建立持續的規章制度清理機制，及時處理過時作廢和已經被更改的規章制度，避免可能出現的新舊并存或新情況下還執行舊制度，造成與企業經營管理現狀的脫節與混亂的情況，以提高制度體系建設的鮮活度、一致性與適應性。為了便于更新與替換過時的各項制度，還可以采用制度流程手冊的方式，使新老制度的更替標準化、流程化，并及時傳達到企業的每一個員工。

第三，強化制度的貫徹與落實以提升內部控制的執行力。強化制度的貫徹和落實永遠離不開“人”的因素。全員參與是近些年各類管理實踐都普遍強調的要點之一，它對于增強員工主動性、提高經營管理效益等都有著積極的意義。所以將制度文件及時、準確傳達至員工，使員工能夠清楚認識、準確理解并掌握制度內容、崗位職責和管理要求，以使其能夠正確操作，并明確違反規定的后果。在制度的傳達與學習方面，可以采取員工集中學習與討論的方式，以盡快形成對新制度精神的統一認積，便于新制度的貫徹與落實。另外，要加強員工業務操作技能和管理技能的培訓，因為只有“想做好事的愿望”是不能達到目標的，企業目標的最終實現還要依靠員工準確執行制度規定的能力和水平。特別是企業中的許多重要部與崗位，是不能出現差錯與失誤的，如財會部門、印章保管部門、合同簽訂部門與對外宣傳部門等，所以必須對關鍵部門的業務環節與具體管理流程進行不定期的培訓與有針對性的考核，以加強關鍵流程與環節的內控建設。

第四，實施科學合理的崗責分配與授權機制。對于企業的特殊部門應建立雙人、雙職、雙責為基礎的第一道防線，要強化崗位職責配置和崗位人員配備的科學性，嚴格不兼容崗位職責和崗位人員的分離操作、獨立配備，通過相互制衡，防范單人業務包辦可能出現的差錯、舞弊等風險。并要發揮管理部門實施業務檢查的第二道防線作用，加強外審監督、內審檢查、內控評價的第三道防線力量。另外，實行有效的業務授權管理也是內部控制的重要內容。根據不同業務流程給予不同的授權權限，受權機構或個人應嚴格按權限操作，努力避免授權不當或越權操作風險。

第五，實施“內、外相結合”的內部控制評價體系。企業的外部環境總是在發生變化，企業自身也在發展壯大，而內部控制必須隨著企業的變化而變化。定期組織規章制度執行情況評估，及時修改、完善制度缺陷和漏洞，是內部控制有效性得以保征的必要手段。內部控制評價體系是通過為控制行為設定具體的標準、選擇適當的評價方法并嚴格執行可以實現對行為的有效規范和引導。采用外部評價和自部評價相結合的評價方式是使這種評價行為更為有效。外部評價具有強制力，效率較高，對于重大問題很具敏感性，但評價者因為時間和精力限制容易忽略一些較隱蔽的問題。內部評價是企業自主進行的，評價深度和范圍可根據實際需要設立，便于引發對工作的總結與思考，針對存在的問題，實施改進，但它也存在自我隱藏缺陷的可能。所以，將外部評價和內部評價結合運用，既可以實現必要的壓力和主動性的有效結合，又能提高評價的全面性和質量，更加重要的是能夠引導被評價者選擇和實施符合企業目標的控制行為。

在此需要明確的是實施“內、外相結合”的內部控制評價體系，還必須強調全員參與。因為，作為評價對象的內部控制系統包含多重目標，涉及企業多個層面和各項業務，僅僅依靠個別部門實施評價工作顯然是力所不及。員工參與的方式包括參與評價體系的構建過程以及運用內控評價體系實施自我評估。通過員工的廣泛參與，一方面可以對企業各業務層面的各類風險進行更透徹的分析和評估，并進一步對控制政策和程序的完善性實施有效評價，另一方面可以增強員工的風險管理和內部控制意識。此外，健全規章制度執行監督機制，加強對制度執行情況檢查的廣度、深度和頻率，督促提升規章制度的執行效果。還有要強化對違反制度行為的責任追究機制，對違反制度的行為落實問責、從嚴追究，強調制度的剛性與權威性。

第六，全面提升風險應急處置能力。面對紛繁復雜的外部環境，“應急處置”已成為企業管理理念、管理能力、管理有效性的集中體現。而內部控制是企業管理的基石，所以應急處置始終貫穿于內部控制之中。全面梳理各項業務與部門的管理流程、操作要求和風險特征，建立、健全風險應急預案體系已成為企業生存的必然舉措，并且還要加強對風險應急預案的定期測試和評估，不斷優化、完善應急方案，提高應急措施的針對性、操作性和可執行性。適時加強應急預案演練，提高快速反映能力，提升應急處置效果。

［1］俞雪花:《基于企業文化視角的內部控制》，人民出版社2011年版。