职责分离，不仅仅是审计师的游戏，更是企业生存的隐形防火墙

作为一名在注册会计师行业摸爬滚打多年的“老兵”，我见过太多企业的兴衰荣辱，一家看起来风光无限、业务蒸蒸日上的公司，可能因为内部一个不起眼的漏洞，瞬间轰然倒塌，而这个漏洞，往往不是什么高深的金融衍生品陷阱，也不是什么无法预见的市场黑天鹅，恰恰是最基础、最容易被忽视的——职责分离。

很多老板,尤其是创业公司的老板，听到“职责分离”这四个字，第一反应往往是皱眉头，在他们眼里，这是大公司才有的“繁文缛节”，是审计师为了刷存在感而故意找茬的条条框框，甚至有人私下跟我吐槽：“我就这么几个人，还要搞职责分离？难道我想让左手防右手吗？”

我想撇开那些晦涩难懂的审计准则,用最接地气、最人性化的方式，和大家聊聊这个话题，为什么职责分离如此重要？它到底在防谁？在资源有限的情况下，我们又该如何平衡效率与安全？

人性的弱点：为什么我们不能只靠“信任”？

要理解职责分离,我们首先得承认一个不太讨喜的事实：人性是经不起考验的。

在生活和工作中,我们总喜欢谈“信任”，老板信任财务总监，把印章全交给她；合伙人信任采购经理，让他全权负责供应商的挑选和付款，这种信任在创业初期，确实是团队凝聚力的粘合剂，随着企业规模的扩大，金钱流动的速度越来越快，诱惑呈指数级增长，单纯的“信任”就变得极其脆弱。

举个生活中的例子：

这就好比我们家里请了一个保姆,既负责买菜做饭，又负责记账，同时还掌管着家里的现金储备，一开始，你觉得阿姨人很好，老实本分，但慢慢地，你发现菜市场的物价好像并没有那么高，但家里的伙食费支出却节节攀升，因为缺乏监督，阿姨可能会在记账时稍微多写几块钱，或者把买菜剩下的零钱悄悄装进自己腰包。

这就是最典型的“职责缺失”，在这个家庭场景里，保姆集“资产保管”（买菜、管钱）、“业务执行”（做饭）和“会计记录”（记账）于一身，这种高度集中的权力，给贪念提供了温床。

我的个人观点： 职责分离的本质，不是为了证明谁是个坏人，而是为了保护好人不犯错。 很多贪污舞弊的案例，主角并不是一开始就是恶贯满盈的，可能是一次急需用钱的窘境，或者是一次无人察觉的侥幸心理，让他们迈出了第一步，一旦没有制衡，潘多拉的魔盒就会打开，作为企业管理者，建立制度是对员工最大的爱护，也是对自己最大的负责。

职责分离的“三驾马车”：资产、记录与授权

在审计准则里,职责分离有一套复杂的理论体系，但在我看来，核心逻辑就三样东西：资产保管、会计记录、业务授权。

这三项权力,绝对不能集中在一个人或者一个部门手里，这就好比把保险柜的钥匙、保险柜的密码、以及查看监控录像的权力，都给了同一个人，那这保险柜形同虚设。

让我们看一个真实的商业案例：

我曾审计过一家中型贸易公司,他们的出纳小张是个老员工，深受老板信任，小张的工作流程是这样的：

客户打款进来（银行存款保管）。
小张去银行拿回单（接触原始凭证）。
小张在财务软件里登记这笔收入（会计记录）。
如果需要付款,小张直接开支票盖老板私章（付款执行）。

看起来一切正常,对吧？直到有一天，客户投诉说明明打了钱，公司却还在催款，一查才发现，小张利用职务之便，把客户打进来的钱转到了她个人的控制账户，然后利用时间差，拆东墙补西墙，在长达两年的时间里，她通过伪造银行对账单（因为是她去拿的，没人核对），在系统里做假账，挪用了公司近三百万元。

这个案例里,小张一个人包办了“资产保管”（现金）、“会计记录”（记账）甚至部分的“核对权”，如果公司有一个简单的职责分离：出纳只管钱，会计只管账，而银行对账单由会计主管直接从网银下载核对，那么小张的舞弊行为在第一个月就会暴露。

小公司的“不可能三角”：人手、成本与控制

说到这里,很多中小企业的老板可能会拍桌子：“你说的我都懂！但我公司一共就一个会计一个出纳，甚至会计就是老板娘，你让我怎么分离？”

这是一个非常现实且痛心的问题,在中小企业，人手、成本与控制往往构成了一个“不可能三角”，你想省钱，人手就不够；人手不够，职责必然重叠；职责重叠，内控就一定有漏洞。

小企业就只能坐以待毙吗？当然不是。

这里有一个我亲身经历的故事：

我辅导过一家初创的科技公司,当时他们只有十几个人，老板亲自管销售，财务外包给我们事务所，公司内部只有一个行政助理兼出纳小李，小李负责跑银行、发工资、报销、买办公用品，甚至保管公司的公章。

这简直是职责分离的“反面教材”，但我们不能建议老板立刻招五个人来解决这个问题，那样公司早倒闭了，我们设计了一套“替代性控制”方案：

老板介入关键环节： 虽然小李管钱，但银行U盾分为了制单盾和复核盾，制单盾在小李手里，复核盾在老板手里，每一笔钱出去，老板必须亲自在手机上点一下确认，这虽然增加了老板的工作量，但有效分离了“执行”与“授权”。
利用第三方监督： 既然没有内部会计，那就强化外部审计的作用，虽然成本增加了，但比招一个全职会计便宜，而且更客观。
透明化办公： 所有的采购报销，必须在公司群里公示，虽然小李买了办公用品，但所有同事都看到了价格和质量，这种“阳光下的操作”，比任何制度都管用。

我的个人观点： 对于小企业来说，完美的职责分离是奢侈品，但“关键节点的分离”是必需品。 你不能分离所有的职责，但你必须分离最致命的那几步——比如资金的最终审批权、合同的签署权，哪怕老板再忙，这几项权力必须死死抓在手里，或者通过技术手段（如双人复核的网银系统）来实现物理隔离。

数字化时代的职责分离：当“人”变成了“系统”

随着ERP系统、财务机器人和各种SaaS软件的普及，很多人认为职责分离变得简单了，其实不然，数字化带来了新的挑战。

以前,我们要防的是出纳偷钱；我们要防的是IT管理员篡改数据，或者是超级用户（Super User）在系统里“为所欲为”。

举个IT系统的例子：

某公司上线了新的ERP系统,系统管理员老王拥有所有的权限：他可以创建新用户、给用户分配权限、甚至可以直接修改后台数据库的数据，如果老王心怀不轨，他可以创建一个虚假的供应商账号，给自己分配采购员的权限，然后自己下单、自己收货（虚假）、自己在系统里审批付款。

在传统手工账下,这需要串通好几个人；但在系统里，一个拥有超级权限的人就能完成整个闭环。

我的个人观点： 在数字化时代，职责分离的对象从“人”延伸到了“系统权限”，我强烈建议企业定期审查系统权限表，特别是那些拥有“超级用户”权限的人。系统管理员不应该拥有业务操作权限，业务人员不应该拥有系统维护权限。 这一点，往往被很多上了系统的企业所忽视，直到数据丢失或被篡改时才追悔莫及。