职务舞弊与内部控制_内部审计_兼评法国兴业银行职务舞弊案例_

1、91职务舞弊与内部控制、内部审计*兼评法国兴业银行职务舞弊案例何 玉【摘 要】 作为金融业最大的职务舞弊案例，2008年发生的法国兴业银行职务舞弊案例为所有企业都敲响了警钟。职务舞弊所具有的高发生率、高危害性、形式多样、原因复杂等特征，要求所有企业必须积极应对。该案例表明有效的内部控制是预防职务舞弊的关键。而为了保障内部控制有效运行，预防职务舞弊，建立健全内部审计机制又是不可或缺的。【关键词】 职务舞弊 内部控制 内部审计 案例研究 兴业银行* 何 玉，南京财经大学会计学院，南京大学会计系在站博士后，邮政编码：210046，电子信箱：heyucpa888。本项目是国家社科基金07BJY018、

2、中国博士后科学基金20080431081和南京财经大学科研基金C0707阶段性研究成果, 本文还获得教育部哲学社会科学创新基地“南京大学经济转型和发展研究中心”子课题“企业组织变更、战略转型研究”资助。非常感谢相关专家的修改建议，当然文责自负。拥有200多年骄人业绩的法国兴业银行是世界上最大的银行集团之一，担任着世界最大衍生交易市场领导角色，一直被认为是世界上风险控制最出色的银行之一。然而， 2008年1月24日，它却爆出有史以来金融业最大的交易员职务舞弊丑闻（北京银联信信息咨询中心，2008）。现年31岁的交易员热罗姆·盖维耶尔（Jerome Kerviel，以下简称JK ）在未经

3、授权情况下大量购买欧洲股指期货，最终给兴业银行造成49亿欧元（约合71.4亿美元）损失。法国兴业银行职务舞弊发生后，英国金融服务管理局（FSA ）主管Lyndon Nelson指出，“法国兴业银行事件对所有企业都是个警示”。如何预防职务舞弊已成为所有企业面临的迫在眉睫的重大课题。2008年7月4日，法国银行委员会对兴业银行开出接近处罚金额上限的400万欧元罚单，原因是兴业银行内部监控机制“严重缺失”，导致巨额职务舞弊案的发生。这一处罚再一次强调了内部控制对于预防职务舞弊的重要性。而为了保障内部控制有效运行，预防职务舞弊，建立健全内部审计机制又不可或缺。一、法国兴业银行职务舞弊得逞原因分析 （一

4、）JK “高超”的操作手法现年31岁的JK 2000年进入法国兴业银行，在监管交易的辅助支持部门工作5年后，转入交易部门，从事套利交易。套利交易是指对两种具有非常相似特性的金融工具组合A 和组合B ，在同一时间以微小的价格差别分别买入A 和卖出B 的操作行为。套利交易的获利与亏损来自于上述过程所产生的价差。根据银行授权，JK 在购买一种股指期货产品的同时，卖出一个设计相近的股指期货产品，实现套利或对冲目的。这种短线交易名义金额巨大，但风险较小。但是，JK 采用真买假卖的手法，把这种短线交易做成了长线交易。根据银行调查，从2006年后期起，JK 开始买入一种投资组合A 后，并不同时卖出。为掩盖建

5、仓痕迹，规避相关的风险控制，他同期虚拟卖出，在投资组合B 中置入了伪造的操作数据，使这个投资组合看起来与他所购买的投资组合A 形成对冲，伪造手法五花八门。在该职务舞弊的具体操作中，JK 使用了多种欺骗方法来规避相关交易被查出。（1）第一个手法是确保所执行违规操作的特征不会引起高几率的控制核查。举例来说，JK 选择的违规交易中不带有任何包括现金流动、保证金追缴要求和那些需要得到及时确认的操作行为。（2）第二个手法是盗用操92作人员管理的IT 系统权限，用于取消特定的交易行为。（3）第三个手法是伪造相关数据，使其能够伪造虚假操作数据的来源。（4）第四个手法是确保在每次虚假操作中使用另一个不同于他刚

6、刚取消的交易中的金融工具，此举的目的是增加规避相关审查的几率。（二）法国兴业银行的内部控制存在巨大隐患 JK 职务舞弊得逞的原因不仅“归功于”其采取的“高超”操作手法，更主要的原因是由于法国兴业银行相关内部控制的严重缺失。1与同事共谋为JK 规避内部控制提供了机会 JK 采用的虚假交易大约15%是由他的交易助理来完成的。正是交易助理和JK 的共谋为规避内部控制提供了机会。同时，在基于诚信的企业文化背景下，交易员之间经常均衡经营业绩来获取更高的津贴，这也会JK 规避内部控制创造了条件。2主管权益证券和派生证券的前台部门（GEDS/DAI/TRD）工作不利自2007年以来，存在许多需要警惕或者调查

7、的信号，但是银行前台部门都没有进行调查，其原因主要可归纳为五个方面：（1）JK 顶头上司监管失灵，否则JK 的职务舞弊可能更早被发现。在JK 的舞弊案例中，对于交易活动和职员个人管理方面的监管都缺乏。交易员的顶头上司和监管者并没有对现存的数据结构进行必要分析，否则将能发现JK 交易中的舞弊行为。对许多敏感情形，内部控制系统不能及时作出反应并解决。尽管法国兴业银行总秘书处总稽核部（SEGL/INS）早就将交易员交易的内部控制缺陷识别为需要修正的事实，却没有得到及时解决。（2）更高一级的DELTA ONE经理监管不力。该经理是一个新手，对JK 所从事的交易业务不太熟悉，从而不能有效监管JK 的交易

8、。（3）DELTA ONE 部门下属的上市产品部（DLP desk ）（即JK 所在的部门）对JK 职务舞弊业务的容忍，为JK 更方便地实施职务舞弊行为创造了条件。伴随着Delta One交易量和利润的迅猛上升，前台部门迅速发展。在基于诚信之上的企业文化背景下，部门内交易员经常突破限额，进行未授权交易，以实现经营业绩均衡化。（4）前台部门对舞弊风险缺乏敏感度，对大量信号缺乏关注与反映。不同部门间的内部控制缺乏有效交流和沟通，员工职责和内部控制程序没有充分的明晰，而且缺乏完善的信息交流沟通制度，各个部门发现的异常信号很难集中并逐级报告到相关部门进行处理。（5）部门迅速扩展给正常经营带来了困难。譬

9、如，交易量一年增长了一倍，雇员两年内由4人增加到23人。在权益证券（Equities ）部门交易量急剧增加情况下，尽管对信息系统投入了不少资金，信息系统还是跟不上日益增长的交易环境的复杂性，从而不能有效处理交易。过分依赖人工处理以及员工超负荷的工作意味着内部控制很难有效 运行。这样的整体环境降低了内部控制运行的有 效性。3职能部门和辅助支持部门的支持和控制功能存在瑕疵整体上，内部控制按照规定的程序运行，但是这些内部控制并不能有效发现舞弊行为，缺乏一些关键的可以发现职务舞弊的内部控制。营运部门（OPER ）、会计财务部门（ACFI ）、风险管理部门（RISQ ）、主管权益证券和衍生证券交易的部门

10、（GEDS/GSD）等部门的支持和控制功能存在瑕疵，从而不能发现JK 舞弊。这主要表现为：（1）法国兴业银行的内部控制程序中，缺乏部门间横向内部控制功能，没有具体规定横向各个部门间内部控制的职责，各个部门发现的异常信号不能有效汇总并进行适当处理。（2）缺乏特定的内部控制措施来识别舞弊。法国兴业银行的内部控制程序并没有将风险管理要求反映到与风险、结果或情形一致的分析中。作为内部控制中的一个重要参考标准，现金流量的变化可以反映出额外的异常信号，但遗憾的是，法国兴业银行的内部控制中缺乏明确的现金流量参考标准。4总秘书处的职业道德委员会（SEGL/DEO）缺乏适当的舞弊风险意识职业道德委员会缺乏适当的

11、舞弊风险意识，忽视外部警示信号，从而不能及时发现舞弊。2007年11月，关于JK 交易的异常现象，欧洲期货与期权交易所（EUREX ）给兴业银行写了两封信，信中提及JK 在两个小时内购买价值近12亿欧元的法兰克福DAX 指数期货的异常现象。兴业银行总秘书处职业道德委员会收到信后和JK 顶头上司进行了沟通，但是其沟通仅局限于对交易员JK 的解释（譬如，JK 与其助理的解释说明）进行确证，而不是深入调查并例外报告和校正错误。93二、有关职务舞弊的分析根据美国注册舞弊审查师协会（ACFE ）、普华永道（PWC ）和毕马威（KPMG ）等三个机构的四份调查研究，我们可以发现，职务舞弊不仅仅是个案，而是

12、一个遍及全球各个国家和地区、各个行业、各个组织、各类职员的普遍现象，方式多重多样，造成的损失巨大且很多难以弥补。法国兴业银行的巨额职务舞弊再一次向所有企业敲响了重视职务舞弊的警钟。（一）职务舞弊发生非常普遍 1职务舞弊发生率极高职务舞弊发生的可能性非常高。PWC （2003）调查表明，37%的公司发生过职务舞弊。KPMG （2004）调查指出，45%的组织表示发生过职务舞弊。在KPMG （1999）的调查中，57%的公司表示至少发生过一起职务舞弊行为。39%的组织表示，职务舞弊是组织面临的主要困难之一（KPMG ，2004）。职务舞弊将来是否会在本公司发生？一半以上的公司表示有可能发生，而且不

13、同类型的职务舞弊发生的可能性也不同，财产贪污、计算机舞弊和腐败及贿赂发生的可能性最大（PWC ，2003）。对于职务舞弊问题的严重性，71%的公司认为职务舞弊在增长，2%的公司认为职务舞弊在降低，24%的公司认为基本不变（KPMG ，1999）。2职务舞弊遍及各个国家和地区、行业和组织 首先，职务舞弊遍及各个国家和地区。但不同地区公司职务舞弊发生率不同。PWC （2003）调查表明，经济发展水平似乎与职务舞弊发生率负相关。就地区来说，西欧最低，非洲最高。其次，职务舞弊遍及各个行业。但是，不同行业职务舞弊发生率存在显著差异。PWC （2003）发现，金融和保险行业职务舞弊发生率最高（分别是54%

14、和49%），而建筑行业最低（33%）。ACFE （2004）发现，制造业、银行业、服务业和政府是职务舞弊比例较高的行业。KPMG （1999）发现，保险、通讯、商业和教育部门是员工舞弊率较高的行业。但是，不同的研究都表明，金融保险业是职务舞弊高发的行业，本文所剖析的法国兴业银行就属于金融保险业，这说明，金融保险业更应采取有效措施应对职务舞弊。最后，职务舞弊遍及各个组织。但是，不同性质、不同规模的组织的职务舞弊发生率存在差异。ACFE （2004）发现，就公司性质来说，私营公司占41.8%，比例最高，公众公司占30.3%，比例第二；从单个舞弊的平均金额来说，私营公司为123000美元，公众公司为

15、100000美元，也分别是第一和第二。对于职务舞弊发生率与公司规模的关系，不同研究给出了不同的发现。PWC （2003）和KPMG （2004）都认为，规模越大，职务舞弊发生率越高。PWC （2003）以员工人数1000人为标准对公司进行分类，结果发现，大公司职务舞弊发生率为52%，小公司职务舞弊发生率为37%。KPMG （2004）调查表明，员工在10000人以上的组织，100%发生过职务舞弊。但是，ACFE （2004）却给出了相反的调查结论。他们认为，企业越小，舞弊比例越高。他们调查发现，100人以下的企业，占舞弊总数的45.8%，100至999人的组织占舞弊总数的21.1%。但是，由于

16、ACFE （2004）考察的是不同类型企业职务舞弊发生数占总体舞弊发生数的比例，而这个比例和总体舞弊样本中的大小组织比例关系密切联系，所以他们给出的职务舞弊发生率与公司规模负相关的调查结论有待进一步确定。3职务舞弊遍及组织内各类职员组织内每一类职员都可能实施职务舞弊。但是，对于不同类型职员，职务舞弊发生率存在显著差异。ACFE （2004）调查表明，就舞弊人员类型来说，员工占67.8%，中层管理人员占34%，高管层占12.4%。法国兴业银行就是交易员JK 进行的舞弊。KPMG （2004）将舞弊者分为管理人员、非管理人员和外部人员，他们发现，不同行业中这三种舞弊的比例不同，零售行业中，非管理人

17、员占76%，管理人员占23%；金融行业中，非管理人员占47%，管理人员占3%，外部人员占50%；其他行业中，非管理人员占33%，管理人员占12%，外部人员占55%。KPMG （2004）的调查表明，就各组织最大舞弊案例的舞弊者来说，从数量方面考虑，非管理人员占58%，管理人员占16%，高管人员和董事占4%，外部人员占22%，从价值方面来考虑也基本致。法国兴业银行职务舞弊案例就是非管理人员JK 的职务舞弊。就各组织最大舞弊案例的舞弊金额来说，外部人员舞弊的金额最大，其次是管理人员和高管层，董事最低。（二）职务舞弊方式多重多样KPMG （1999）调查表明，12%的公司表示发生过计算机相关舞弊，舞

18、弊的主要方式是窃用计算机设备、计算机内数据修改和商业信息的非授权使用。计算机相关内部控制状况较差是计算机相关舞弊得逞的主要原因，其中计算机实物安全、口令和94信息安全意识较差是重要的内部控制弱项。法国兴业银行的职务舞弊案中，JK 就通过了银行“5道安全关”获得使用巨额资金权限；同时，JK 还通过篡改、伪造计算机系统交易数据来逃避监管。ACFE （2004）发现，涉及财产贪污的舞弊案例最多，占全部舞弊案例的92.7%。PWC （2003）和KPMG （2004）的调查也得出了相似结论。就发生过职务舞弊的公司来说，60%的公司发生过这种舞弊行为。从财产贪污案例来说，现金贪污案例最多，占全部贪污案例

19、的93.4%。从现金贪污案例来说，支出舞弊案例最多，占现金贪污的74.1%。从支出舞弊手段来说，假账单和支票篡改是主要方式，分别占支出舞弊案例的52.1%和31.3%（ACFE ，2004）。KPMG （1999）进一步考察了不同类型职员的舞弊方式，发现管理人员舞弊的主要方式包括费用报销、不相容利益、个人用途的购买和贪污，非管理人员舞弊主要包括偷窃和贪污。就管理人员舞弊来说，不同的舞弊方式给组织造成的损失也不同。在零售行业中，财产偷窃占全部损失的82%；在金融行业中，贪污和假支票是造成损失最大的两类舞弊，分别占全部损失的37%和27%；在其他行业中，假发票和贪污是造成损失最大的两类舞弊，分别占

20、全部损失的25%和16%。就非管理人员舞弊来说，零售行业中，造成损失最严重的舞弊方式是财产偷窃，占全部损失的99%；在金融行业中，贪污是最严重的舞弊方式，占全部损失的72%；在其他行业中贪污和假发票是主要方式，分别占全部损失的31%和28%（KPMG ，2004）。（三）职务舞弊损失巨大，且大都难以弥补 PWC （2003）将员工舞弊对公司造成的损失分为直接财务成本（the financial cost of fraud）和间接成本（the collateral cost of fraud）。就直接财务成本来说，发生过舞弊的1284个公司中，1/3的公司无法量化舞弊损失，813个公司能量化员工

21、舞弊损失。对于可以量化舞弊损失的这些公司来说，不同类型的舞弊对公司造成的损失是不同的，平均来说是2,199,930美元。就间接成本来说，主要是对公司名誉、品牌、股票价格、员工道德及商业关系的影响。由于这些影响难以量化，所以可从两个角度进行考虑：一是对公司不利影响的程度。相同的舞弊行为对上述各个方面的影响程度也是不同的，例如，腐败和贿赂对员工道德的影响较大，而对品牌的影响则很小。二是这种不利影响可能持续的时间。就影响持续的时间来说，多数公司认为这种影响是短期的，一般是在一年以内。KPMG （2004）还分别从不同舞弊原因考察了舞弊造成的损失。结果发现，由于赌博原因而舞弊所造成的单件损失近50万美

22、元，由于贪婪原因所造成的单件损失近40万美元，由于报复和生活方式原因所造成的损失近30万美元。KPMG （2004）还发现，不同行业中，不同人员的舞弊给组织的损失也不同，在零售行业中，外部人员舞弊的单件损失最高，在金融行业中，非管理人员舞弊的单件舞弊损失最高，一般而言，非管理人员造成的损失会超过70%。就法国兴业银行职务舞弊案来说，非管理人员JK 进行的职务舞弊，给兴业银行造成了迄今为止金融行业金额最大的交易员舞弊损失。对于职工舞弊损失的弥补，PWC （2003）认为，很难弥补职工舞弊损失，只有9%的公司说他们弥补了员工舞弊损失的80%，3/4的公司损失弥补程度不超过20%。这个调查结果与AC

23、FE （2004）和KPMG （2004）的调查结果差异不大。ACFE （2004）调查表明，37.1%的舞弊案例完全没有弥补，16.5%的案例得到25%以下的弥补，22.1%的案例得到全部弥补。KPMG （2004）调查表明，44%的舞弊案例没有弥补损失，32%的舞弊案例得到部分弥补。就金额来说，79%的舞弊损失无法弥补。因此，应对职务舞弊最好的方式就是预防，通过加强内部控制等措施来预防职工舞弊，否则一旦职务舞弊发生，损失很难弥补。三、预防职务舞弊的关键：内部控制和内部审计 （一）内部控制法国银行委员会对法国兴业银行由于严重缺失内部控制而导致JK 舞弊作出高额处罚这一事例，给预防职务舞弊提供

24、了一个启示，即完善内部控制有助于预防职务舞弊，这一观点在KPMG （1999）、PWC （2003）和KPMG （2004）的调查研究中也得到了验证，85%的公司对内部控制防范舞弊的作用充满了信心。而且，已经发生过职工舞弊行为的公司更倾向于积极地实施内部控制以防止舞弊的再次发生（PWC ，2003）。为指导和规范上市公司的内部控制建设，上海证券交易所与深圳证券交易所在2006年分别出台了上海证券交易所上市公司内部控制指引和上市公司内部控制指引（以下简称指引）。指引的出台与有效实施提高了上市公司对内部控制建设的认识，但在内部控制建设指导上仍不够具体。为此，952008年6月28日，由财政部、证监

25、会、审计署、银监会、保监会五部委联合发布的关于印发<企业内部控制基本规范>的通知，企业内部控制基本规范（以下称基本规范）将于2009年7月1日实施。它提出了一个统一的技术标准，将在很大程度上清除上市公司在内部控制建设方面所遇到的障碍，从机制和实际操作方面来推进上市公司内部控制实施的进程，企业应根据基本规范来制定适合自身的内部控制制度。法国兴业银行在舞弊案例发生后，聘请“四大”之一的普华永道会计师事务所对其内部控制缺陷进行改进的方案，对中国企业的内部控制建设也是一个有益的借鉴。该方案指出，法国兴业银行旨在形成“责任共担，互相尊重”的企业文化。完善后的新内部控制旨在形成稳健且独立的内部

26、控制和支持功能，恢复内部控制相关各方之间的平衡和牵制。该方案要求：（1）在事先得到所有员工对其所承担的职责正式认可后，清晰界定各部门内所有员工的职责，将各个岗位职责写在员工手册上，明晰各人职责要求。（2）明确银行内各个职能部门和辅助支持部门间的职责分工，制定辅助支持部门的交易支持辅助手册，取消交易员使用辅助支持部门IT 的权利。（3）成立专门委员会来评估内部控制程序和监管内部控制异常信号，将内部控制相关各方信号汇集到一起，从整体上对内部控制进行评价，使得内部控制的运行更为稳健。（4）开展旨在提高风险管理和运营风险意识的计划。企业在内部控制建设和完善过程中，还应强调内部控制建设需要让企业全员真正

27、地参与进来。法国兴业银行在舞弊发生后的内部控制完善中，就突出了这个思想，不仅要求前台部门、职能部门和辅助支持部门职责明确，相互配合，而且要求所有员工明晰各自职责并正式认可。当然，内部控制建设仍要强调董事会、管理层在内部控制建设以及职务舞弊预防中承担的主要作用。企业计算机信息系统也为利用计算机进行职务舞弊提供了机会。普华永道在受聘对法国兴业银行内部控制缺陷进行分析时就指出，法国兴业银行IT 环境存在明显缺陷。尽管对计算机信息系统给予了相当大的投资，但是信息系统仍然跟不上日益增长的交易数量和日益复杂的衍生品交易的需求。内部控制过分依赖人工处理以及工作人员的沉重负担意味着现存的内部控制很难有效运行。法国兴业银行不仅IT 环境存在缺陷，而且IT 安全方面也存在严重缺陷。一些计算机应用程序是10多年前安装的，解决这个缺陷需要对计算机系统进行改造。在普华永道的建议下，法国兴业银行将对计算