鈞御顧問服務在企業內控健檢中，常碰到類似的場景：行政人員忘了把請款單提供給客戶，儘管公司早已規範必須先把請款單寄給客戶，才能在內部控管的Excel表格上勾選已提供，這位同仁在Excel上勾了已提供，實際上請款單根本沒有寄出去。發現的當下，主管往往會想，是不是該再找一個人專門檢查請款單有沒有確實提供給客戶？
這樣的反射動作，鈞御在許多企業的內控健檢中屢屢看到。發生了不該發生的錯誤，答案幾乎都是再加一道關卡。再加一個人、再加一道簽核、再加一張檢查表，這個做法可能確實能降低風險發生的機率，但真的有必要嗎？多出來的行政成本，換來的效益真的划算嗎？
執行不到位，被誤判成設計不良
上述的請款單案例，相信不少讀者並不陌生。企業明明已經設計了控管機制，為什麼還是會出錯？
實務上這種狀況很常發生，有時候是當初設計流程的人對這項作業不夠熟悉，或者這根本是一條剛上路沒多久、沒人真正跑過幾輪的新流程，自然容易在某個環節出現當初沒設想到的漏洞。遇到這種情況，有概念的管理者會做的事，是針對錯誤發生的原因做根因分析，找出流程設計上真正的破口，據此優化流程、補強控制點，這是合理且必要的動作。
但，鈞御在企業診斷過程中更常看到另一種狀況：控制設計本身其實有效，問題出在沒有被確實執行。以請款單這個案例來說，先提供給客戶、再於Excel上勾選已提供，這個順序如果同仁確實照著做，原本就足以避免問題發生；控制設計並沒有缺陷，缺的是有沒有人真的照著流程走。
稽核與內控領域有個基本觀念，卻常被管理者忽略：控制的「設計有效性」與「執行有效性」是兩件不同的事。設計有效性問的是，如果這個控制點被確實執行，能不能擋下對應的風險；執行有效性問的則是，這個控制點在實務上到底有沒有被確實執行。請款單案例的問題，顯然出在後者。
若把沒有落實執行誤判為控制設計不足，管理者接下來的動作往往是在原有的流程上再加一道關卡，比如新增一個人專門覆核Excel是否誠實勾選，這道新關卡或許真能把這次的問題擋下來，但行政成本也因此增加；可能是覆核時間的增加、人員協作所造成流程的拉長、或者是彼此資訊傳遞及溝通的延宕。每發生一次類似的狀況就再疊上一層控制，層層堆疊下來，就是鈞御所看到的疊床架屋，當下看到一個問題，就補上一個控制，控制越加越多，但這些堆疊的控制程序增加了許多行政成本，早就遠高於避免風險發生的效益，而不是尋求最有效益的做法。
例如說，是否能開發一套合約歸檔及請款系統，系統草擬完請款單，經過人員審核並在系統確認後，就自動觸發Email寄送給客戶請款的流程，這樣就不再有是否漏提供給客戶的問題，甚至也一舉解決了整個歸檔及請款環節的其他風險，例如合約歸檔了卻未製作請款單、請款單金額錯誤、請款單的客戶抬頭錯誤等等，過去一個一個加上去因應這些風險的控制點，都可以簡化。
風險的兩個維度
內控從一開始存在的目的，是為了因應風險，不是為了控制而控制。這句話聽起來像常識，但實務上很容易在檢討會議的當下被忘記。
衡量風險的輕重，一般會從兩個維度出發：一個是事情一旦發生後果有多嚴重，另一個則是這件事發生的機率有多高，兩者交互影響，共同決定這個風險值不值得公司投入資源去防範。實務上常見的做法，是把嚴重性與發生機率各自分成幾個等級，再相乘算出一個風險分數，例如嚴重性與機率各分為3個等級，兩者相乘，最高可以到9分，最低則是1分，分數越高，代表這個風險越需要積極因應。
拿兩個情境對照，會更清楚這個邏輯。如果公司沒能確實掌握供應商的交期，導致產線斷料，後果是給客戶的交期延誤、產能空轉，這種風險一旦發生，對公司的衝擊相當大，理所當然要設計嚴謹的制度來因應。但請款單忘記提供給客戶，多數情況下只是晚一點收到款項，而且公司通常還有其他機制可以補位，比如業務或會計例行對帳時，遲早會發現客戶那邊沒有這張請款單，不至於讓公司收不到錢。這也說明，不是每一個錯誤都值得用同樣的力道去因應，這兩個情境無論是嚴重性還是發生機率，都不在同一個等級上。
事實上，只要公司有適當的控制把發生機率降到一定水準以下，之後如果還是發生了遺漏，更務實的做法是把它視為一種可以接受、不需要特別再管理的殘餘風險，而不是每次出包都要再加一道控制。把風險壓到趨近於0聽起來很理想，但那從來不是免費的，投入的人力、時間、流程的複雜度都是成本，這個成本最終要跟它換來的效益放在一起衡量值不值得。再周全的內控設計也只能提供合理的保證，沒有一套制度能保證公司永遠不出錯。
結語：內控加得上去，拿不下來
回頭看這整件事，會發現一個耐人尋味的現象。發生問題的當下，幾乎所有人都會理所當然地認同應該要加強內控，即使這個控制點依風險的嚴重性與機率來看，根本不需要做到這麼嚴謹。
但依鈞御的實務經驗，內控加上去容易，要再拿下來難得多。鈞御就見過這樣的場景，財務主管提議把某一行之有年的複核關卡拿掉，理由是這幾年根本沒攔下過任何錯誤，主管也點頭同意；半年後那個環節真的出了一次疏漏，會議上第一個被問到的問題，就是當初是誰同意拿掉這複核功能。相較之下，主張加嚴的人，從來不會被追問這新增的關卡到底攔下過什麼。這樣的誘因結構下，幾乎沒有人會主動提議把內控簡化，於是控制只會越疊越多，層層堆疊的成本卻很少有人回頭認真檢視。
所以，管理者要有幾個清晰的概念，才能避免公司內耗過多資源，第一，要分辨錯誤是來自於內控設計不良，還是執行未落實，才能正確的對症下藥；第二，風險不可能降為零，而且降得越低，要付出的成本往往越高，殘餘風險是普遍存在的；第三，跳脫框架思考，遇到問題就補個解決方案很直覺，但退一步好好思考，才能想出更好的解決方案。