從COSO 內部控制框架探討組織內控體系有效性
——以FTX 破產案為例

鄔和用 原 英（通訊作者）

（1.內蒙古伊利實業集團股份有限公司 2.內蒙古農業大學）

一、引言

2022 年11 月11 日，總部位于巴哈馬的加密貨幣交易所FTX 發布聲明，包括其附屬公司在內的一百多家主體已在美國申請破產保護2信息來源：https://baijiahao.baidu.com/s?id=1750875139957240965&wfr=spider&for=pc。FTX 創始人、原首席執行官Sam Bankman-Fried（山姆-班克曼-弗里德，簡稱SBF）辭職。FTX 因挪用客戶資金給關聯公司Alameda 進行了大量高風險投資并虧損，經曝光后引發市場信任危機并觸發資金擠兌3信息來源：https://mp.weixin.qq.com/s/DI704-hX5ALrbBXEhNDwGA。

筆者認為，FTX 破產不僅僅是違規操作的關聯交易，其由極少數人控制、幾乎由SBF 一人領導等糟糕的公司治理，反映出FTX 的內部控制中存在的重大漏洞。

加密貨幣是數字貨幣（或稱虛擬貨幣）的一種，存在著匿名、價值波動大的特點，具有很強的投機性。而FTX 作為一個加密貨幣的交易平臺，經營對象不同于其他企業，對內部控制和風險的管理本應更為重視，但該破產案例暴露出的漏洞和缺陷，昭示了內部控制體系缺失的嚴重后果，有必要結合COSO 內部控制框架理論來對本案例進行分析，引以為鑒、吸取教訓。

二、FTX 商業模式分析

FTX 屬于CEX 類型的交易所（中心化交易所）4. 7. 信息來源：https://zhuanlan.zhihu.com/p/518035577，本質是買賣雙方將加密貨幣資產轉入交易所自身的賬戶，在交易所的背書下進行資產托管及訂單撮合完成交易，最后再把資產提取到自己的錢包。在這個交易過程中交易所收取一定的手續費。

CEX 的優勢是交易速度快、操作便捷等對C 端用戶的友好性，能夠即時提供增值服務等對B 端用戶的專業性。CEX 的缺點是用戶將加密資產存儲在交易所，由于中心化交易所的錢包是集成式的，不在用戶的控制范圍內。私鑰的所有權掌握在交易所手中，如果交易所泄露或遭到攻擊，則用戶的私鑰和數字資產存在完全丟失的風險。

傳統金融將撮合交易、證券托管、資金托管的業務分散開來，而今天的加密貨幣交易所幾乎是獨攬大權，這種結構是存在邏輯性缺陷的，人性的貪婪注定其隨時可能出現問題。所以像FTX 這類CEX 交易平臺，行業的監管、充足的準備金、良好的客戶交易體驗以及自身通過治理機制來保證透明化和客戶資產的安全，進而提升客戶的信任是CEX 交易平臺的生存根本和管理目標。

該市場凸顯的一個事實是：基本不受監管的加密貨幣市場往往是在信息真空中運作的，這就意味著在有新的事實曝光時，交易者很快就會做出反應。加密貨幣玩家對新聞和謠言做出反應的速度更快，導致加密貨幣市場上形成流動性危機要比傳統金融市場快得多。市場操作的不透明經常會導致恐慌反應，進而引發流動性緊縮，造成加密貨幣投資者喪失信心，然后抽走大筆資金，導致這些公司瀕臨死亡5信息來源：https://36kr.com/p/2020864890212356。

三、結合COSO 內部控制框架要素對案例進行分析

雖然案件還在調查階段，但從相關媒體的報導中可以知道，FTX 破產直接原因是用戶擠兌發生流動性危機造成，深層次的原因是內部控制的缺失造成了公司失敗和破產。以下將依據2013 版COSO內部控制整合框架理論從內部控制五要素的角度，結合FTX 商業模式的成功要求及FTX 在管理中的缺陷展開分析。

根據COSO 內部控制整合框架的理論，內部控制是一個由主體的董事會、管理層和其他員工實施，旨在為實現運營、報告和合規目標提供合理保證的過程。有效的內控體系能合理幫助組織實現重要目標，將風險降至可接受水平。而有效的內控體系要求內部控制的五要素及相關原則必須同時存在并持續運行，且五個要素作為一個整合的體系共同運行。

（一）控制環境對內部控制有效性的影響

1.治理結構不健全

一個健全而有效的公司治理可以使控制環境更加值得信賴，進而使內部控制的每個要素更好地發揮作用。

FTX 提供了出色的用戶界面和體驗，但行業特性決定了它更應該提高透明度、改善風險管理和加強治理。曾負責監督安然破產清算、FTX 的新任CEO John Ray III 發出長嘆：“在我的職業生涯中，從來沒有見到過如此徹底失敗的企業內部控制，以及完全沒有可信度的財務信息。公司的控制權掌握在一小撮缺乏經驗、不成熟的人手中，這種情況是前所未有的6信息來源：https://baijiahao.baidu.com/s?id=1750293526580268818&wfr=spider&for=pc。”

在2022 年11 月22 日的聽證會上，FTX 的兩位律師提到FTX 創始人SBF 時稱，FTX 進入重組流程后聘請的破產領域專家和律師中，“沒有一人見過”像SBF 那樣對企業的控制，FTX“實際上就是在SBF 個人的領地來經營”7信息來源：https://mp.weixin.qq.com/s?__biz=MzU0MTcxNjc4Mg==&mid=2247604657&idx=4&sn=b1c7ea1d5620cf60dbcf501ae567e034&chksm=fb26a1f0 cc5128e68886b37f523db63549b1950c1cb0d3f0de8af7d84b9b751cc50e1d9bc353&scene=27。

在12 月13 日美國眾議院金融服務委員會就“FTX 崩盤事件”舉行的聽證會上，就議員們最關心的Alameda Research 和FTX 這兩個公司間的關系、資產負債以及資金往來狀況、是否存在獨立的治理？Ray 回答道，“FTX 集團的業務沒有被分離，它實際上是作為一家公司運營的，FTX 和Alameda Research 之間沒有區別”。Ray 在談到FTX 及其附屬實體的公司結構時表示，它們“沒有獨立的董事會”“有一個人控制著一切8信息來源：https://finance.sina.com.cn/blockchain/roll/2022-12-15/doc-imxwryyt6392726.shtml。”

根據FTX 提交給法院的破產文件、該公司資產負債表以及對員工和投資者的采訪，其實從最初開始，這家公司就是“一團混亂”。該公司既沒有會計部門，也沒有慣例的人力資源部門，管理FTX及其相關公司的一些高管在一個價值3000 萬美元的頂層公寓里共同生活和工作，公司資金被用來購買房地產，但沒有記錄保存，甚至沒有一份雇員名冊9信息來源：https://mp.weixin.qq.com/s/DI704-hX5ALrbBXEhNDwGA。

媒體報道稱，FTX 從未召開過董事會會議，SBF 通過即時刪除的軟件來傳達重大決策和部門間溝通，甚至也要求員工做到即時刪除10信息來源：https://baijiahao.baidu.com/s?id=1750256689875384961&wfr=spider&for=pc。

2.權責缺乏制衡

董事會應對高級管理層授權并界定和分配責任，高級管理層也應對這個主體及其下屬單位授權并界定和分配責任。授權僅限于能完成主體目標的必要范圍。

董事會應保留重大決策的權力，并審查管理層對權力與責任的分配與限制。

但FTX 的問題是“沒有獨立的董事會”、權力集中在一個人手中。SBF 的小團體就是FTX 實質管理團隊，但是在工作上完全沒有任何標準可言，幾乎就是SBF 說了算11信息來源：http://news.itxinwen.com/hot/20221201/10930.html。

3.管理者當局的素質和誠信道德的缺失

據《華爾街日報》報道，在擠兌發生之前，FTX 總共有160 億美元的客戶存款，但這些資產中有一半以上，都被借給了Alameda 用于彌補其交易虧空，這是道德問題，更是法律問題12信息來源：https://baijiahao.baidu.com/s?id=1750908883536278865&wfr=spider&for=pc。FTX 的交易服務條款中明確顯示（用戶資產不屬于FTX Trading，用戶對賬戶在任何時候享用絕對的控制權），但其挪用用戶資產給 Alameda Research 貸款注資等欺詐、濫用客戶資金的行為也再次警醒業界基于交易所信用背書的CEX 資產托管極具風險13信息來源：https://baijiahao.baidu.com/s?id=1751449360424418019&wfr=spider&for=pc，FTX 服務條款見圖1。

圖1 FTX 服務條款

在破產案首場聽證會上，Ray 痛斥了FTX 極為糟糕的公司治理：公司沒有旗下銀行賬號的確切信息、也沒有完整的員工名單、使用一系列“不安全的電子郵箱賬號”管理電子資產密鑰、使用公司資產為員工和顧問購買房產等個人資產。更荒誕的是，SBF 在討論決策的過程中使用有“自動刪除”功能的通訊平臺，并鼓勵員工也這么做，因此現在找不到歷史決策記錄14信息來源：https://baijiahao.baidu.com/s?id=1750293526580268818&wfr=spider&for=pc。

SBF 似乎對FTX 破產漠不關心，也沒有任何罪惡感。正如Vox 網站的派珀寫道:“當我們交流的時候，我試圖弄明白，在公關、慈善捐款和游說的背后，弗里德到底相信什么是對的，什么是錯的，尤其是他所從事的工作和行業的道德準則。籠罩在我們整個談話中的是這樣一個事實:那些信任他的人失去了他們的積蓄，他對社會和投資人造成的悲痛和痛苦是巨大的，但他基本上沒有表現出來任何的羞愧或是歉意。也許SBF 覺得沒有必要假裝抱歉，因為他的同路人也都這樣15信息來源：https://www.163.com/dy/article/HMRNQMC40531KXQ8.html。

實際上，FTX 高管在此前陸續離職就是在釋放一個巨大的危險信號。2022 年8 月24 日，由SBF控制的加密對沖基金Alameda Research 首席執行官Sam Trabucco 宣布辭職；9 月27 日，FTX 美國首席執行官Brett Harrison 也宣布辭職；緊接著，10 月3 日，FTX 場外交易和機構銷售主管Jonathan Cheesman 離開公司。要知道，Jonathan Cheesman和Brett Harrison 在公司的任職時間僅僅只有一年多，通常情況下，高管得到的股權是分多年多次配給的，那么這些高管為什么在還沒拿到所有股權的情況下就決定離開公司呢？更何況這可是一家處于快速增長期、估值300 億美元的公司。現在想來，這些高管早就知曉了FTX 的真實情況，因此寧可蒙受個人損失也不想牽扯進更大的風波16信息來源：https://www.qklw.com/news/20221121/276457.html。

同時，以上行為造成的控制失敗，也體現出內部控制固有的局限性始終存在，造成這些局限性的原因如下：管理層凌駕于內部控制之上，管理層、組織其他人員和（或）第三方通過串通舞弊而規避控制。

（二）風險評估對內部控制有效性的影響

組織應對影響其目標實現的風險進行全范圍的識別和分析，并以此為基礎來決定應如何管理風險。并識別、評估外部環境變化對其內部控制體系可能造成的重大影響。

SBF 在這一環節卻嚴重失職，把客戶的巨額資金挪用給了關聯公司Alameda 進行風險交易，而Alameda 耗盡了用作風險押注的用戶存款，導致FTX面臨高達80億美元的資金缺口，只得申請破產。公司管理層本應把客戶托管的資產安全作為主要風險來關注，確保客戶資產安全，提高運作透明度，最大程度去贏得客戶信任。但管理層卻靠的是通過高調地向民主黨提供政治捐款、鋪天蓋地的體壇和電競廣告宣傳和贊助、明星代言、頗具個性的社交賬號言論提升社會影響力。

就在2022 年6 ～7 月幣圈因為Terra Luna和3AC 破產而風聲鶴唳的時刻，FTX 卻是大舉擴張，實踐巴菲特所謂“別人恐懼的時候我貪婪”的原則，多次出手拯救幣圈陷入流動性危機的多家機構，FTX 也被調侃是拯救行業的幣圈央媽。實際情況是，因為Alameda 挪用FTX 的客戶存款，相當于加杠桿投資代幣，而他們所投資的代幣都暴跌了80%、90%甚至是100%，原本低買高賣的做市商套利，結果變成了大股東，而且是貶值到幾乎一文不值的大股東，而一系列貸款還都等著Alameda 償還17信息來源：https://baijiahao.baidu.com/s?id=1750908883536278865&wfr=spider&for=pc。

（三）控制活動對內部控制的影響

1.授權審批缺陷

把客戶的巨額資金挪用給了關聯公司Alameda進行風險交易，反映出公司在重大事項方面授權管理的缺失。在FTX 申請破產的當天，至少3.72 億美元未經授權就被轉移，而在破產申請后，FTX 再次未經授權地制造了3 億美元的FTX 代幣FTT18信息來源：https://baijiahao.baidu.com/s?id=1750258578023841768&wfr=spider&for=pc。

2.財產保護控制缺陷

公司沒有旗下銀行賬號的確切信息、也沒有完整的員工名單、使用一系列“不安全的電子郵箱賬號”管理電子資產密鑰。反映出日常管理混亂，沒有定期盤點、賬實核對等措施保護資金財產安全。根據雷三世的說法，FTX 不僅“沒有保持對其現金的集中控制”，也未能保留準確的銀行賬戶和賬戶簽署人名單，或對銀行合作伙伴的信譽給予足夠的關注。甚至顧問們還不知道FTX 集團在申請破產時有多少現金19信息來源：https://www.163.com/dy/article/HMRNQMC40531KXQ8.html。

3.信息系統控制缺陷

根據路透社報道，SBF 在FTX 的簿記系統中設置了“后門”，該系統是使用定制軟件構建的。“后門”允許SBF 執行可能改變公司財務記錄的命令，而無需提醒其他人，包括外部審計員。這種設置意味著將100 億美元的資金轉移給Alameda 不會觸發FTX 的內部合規或會計危險信號。數據顯示，2022年5 月12 日，FTX 將9 萬ETH（2.11 億美元）以及680 萬FTT（2.247 億美元）轉移到Alameda，隨后Alameda 將它們轉移到Genesis。2022 年5月12 日，FTX 向Alameda 發送了另外155 443ETH（3.234 億 美 元）， 最 終 轉 移 到Genesis。2022 年5 月26 日，FTX 向Alameda Research 發 送了350 萬FTT（1.03 億美元)，最終再次轉移到Genesis20信息來源：https://www.163.com/dy/article/HNEMDLFR0521RRCK.html。宣布申請破產當天，FTX 還遭遇了黑客攻擊，資金外流總額超過6 億美元21信息來源：https://baijiahao.baidu.com/s?id=1749531914442373668&wfr=spider&for=pc。反映出FTX對信息系統開發與維護、網絡安全等方面的控制缺陷。

用戶資產轉移至交易所賬戶就脫離了用戶掌控，加上目前用戶資產不受商業保險保護，一旦遇到黑客入侵風險或交易所破產，用戶的資產將徹底無法恢復。加強信息系統安全控制是非常重要的，但SBF 并不使用具有嚴密技術邏輯的去中心化技術，而是利用多種宣傳手段讓用戶對資產的安全度產生錯覺，踐踏客戶信任。在高漲的交易熱情和樂觀情緒下，多數用戶只追求交易體驗而往往忽視了對資產托管安全這項最基礎卻最核心的需求。FTX也是在這種背景下，以衍生品交易這類差異化服務以及諸如放寬保證金種類等機制創造的極致交易體驗，迅速擴大體量，在短期贏得了客戶信任，但卻也因為挪用客戶資產等欺詐行為親手摧毀了客戶信任。

（四）信息與溝通對內部控制的影響

組織需要獲取或生成和使用高質量、相關的信息來支持內部控制的持續運行。并建立流程識別、收集所需信息，應在處理過程中確保信息質量：及時、準確、完整、可獲取、受保護、可驗證、可保持。

而FTX 在這方面實際表現出來的確是“難以計算總資產和總債務”“客戶的資金可能過于混亂，無法完全理清”等亂象。2022 年12 月13 日，美國眾議院金融服務委員會舉行的“FTX 崩盤事件”聽證會上的要點信息：Ray 稱，FTX 的文件是他見過的“最糟糕的文件”，FTX 的“無紙化破產（paperless bankruptcy）”情況是“前所未有的”，這使得事情非常難以追蹤。他舉例說，SBF 曾作為貸款的發行人和貸款的接收者簽署了一份協議。但這筆特殊貸款的用途是什么根本查不清楚。也就是說，SBF 能在沒有或只有很少文件的情況下獲得多筆貸款。Ray 說：“我們已經損失了80 億美元，鑒于此，我不相信這個組織里的任何一張文件。”如上所言，Ray表示，由于FTX缺乏足夠的記錄保存，這也為其崩潰奠定了基礎，并使Ray 難以計算出公司的總資產和未償債務。破產公司的任何客戶在公司重組過程中都將面臨從公司收回資金的困難。但鑒于該公司缺乏內部控制并依賴于不穩定的加密資產，FTX 客戶獲得損失補償的可能性可能更小。Ray 表示，FTX 將客戶資產與Alameda 的資產混在一起，并從事保證金交易，是在拿客戶資產進行賭博。他表示，目前還在調查Alameda Research 貸款給SBF 的10 億美元貸款的用途和去向22信息來源：https://baijiahao.baidu.com/s?id=1752163219850306879&wfr=spider&for=pc。

（五）監督活動對內部控制的影響

監督活動的主要任務就是通過持續或單獨的評估，確認內部控制的各要素存在及持續運行；發現和評價內部控制缺陷，及時與整改責任方溝通，必要時與高管層和董事會溝通。

內部審計作為監督的主要形式，在理想的文化背景下，應在一種允許其獨立運作的氛圍中開展工作；擁有做好工作的資源；分別向CEO 和董事會或審計委員會提供行政和職能方面的報告；與管理層保持明確和積極的關系。它在組織內部定下了一種高層基調，明確地表明接受監督是公司文化的標志。相反在有毒的文化環境里，管理層努力破壞內部審計發揮作用的空間，這表明領導層害怕監督，并采取措施阻撓或避免來自獨立內部審計部門的監督。

Alameda 將屬于該公司的交易量轉移到FTX 交易所，使FTX 能夠吸引具有更深流動性的散戶和機構加密交易商。然后，使用代碼中的秘密“后門”將客戶存款再發回Alameda，這一切都是在避開審計的情況下進行的23信息來源：https://mp.weixin.qq.com/s/oK_l5U_nVS67PstDVXuv5A。這就是管理層避開內部審計監督的例證。

有效的內部控制體系要求各要素及相關原則同時存在并持續、以整合的方式共同運行，否則內控體系一定存在著一項重大缺陷，若存在一項重大缺陷，組織就不能得出內控體系有效的結論。從以上要素分析可以看出，FTX 的公司控制是失敗的。

四、啟示

成長于Web 1.0 時代，創建了面向Web 2.0時代公司的李彥宏有一句廣為流傳的名言：百度永遠離破產只有30 天！隨著各類面向Web 3.0 時代的互聯網創業公司崛起，李彥宏“30 天破產”理論都顯得過于保守了。在玩數字游戲的加密貨幣領域，幾百億美元灰飛煙滅、一家公司從高峰滑落至谷底只需要10 天。

從本案例可以看到，在做大做強后，內控體系是組織能走得遠的有力保障。建立有效的內部控制體系對于組織實現目標、降低風險、健康運營有著非常重要的作用和意義。雖然我們需要總結從FTX 崩盤中應該汲取的教訓，但事實是，FTX 幾乎沒有什么新教訓，只有再次敲響了警鐘。從投資者的角度，在評估投資對象時，應該始終從內部控制的角度去看公司治理、企業文化，建議是:“如果沒有內部控制，投資者就應該用腳投票。”