內部控制管理對組織的重要性

1.前言

面對全球半導體產能供不應求，各類型電子產品晶片需求暴增，台積電在2021年技術論壇就曾表示，3年1,000億美元投資案已全面啟動，相較以往將以5倍的速度加快擴產，而廠務在面對如此快速建廠的挑戰下，組織運作所遇到的各種風險也越來越多，壓力越來越大，面臨的危機也越來越嚴峻。因此必須提高廠務自身的運轉應變能力，而建立健全的組織內部控制制度，是提高組織整體在運轉與應變處理的關鍵所在。

內部控制制度是組織在管理內部各層次、各環節運作流程高效率的管理控制制度，是由一系列控制政策和程序所組成。目的是保證組織運作有序，防範各種可能之運轉風險，及時防止和糾正錯誤與弊端，同時確保會計資料的真實完整，經營運作的及時與準確。它是透過組織內部高層管理者乃至每一名員工在明確分工的基礎上，進行的科學與高效的相互制約的行為規範。

2.文獻探討

2.1 無印良品案例^[2]

日本知名企業無印良品在業績與知名度持續增長之後，突然在2001年虧損達38 億日元，而此時外界的評價從「無印神話」變成了「無印良品的時代已經結束」，公司內部更瀰漫著一股「這公司要完蛋了」的絕望氣息，而其原因在於，過去無印良品的經營，奉行的是「經驗主義」，常因不同分店的「感覺」不同造成各分店有不同的制度，缺少共同努力的方向與制度。面對千頭萬緒的生意與組織問題，臨危受命的松井忠三社長卻在接手的短短兩年，就讓無印良品轉虧為盈，還在2005年創下營收1410億日圓的最佳紀錄，寫下日本企業史上的「無印神話」。而成功的答案就是「制度」，松井忠三一上任就堅信「魔鬼就在制度裡」，同時大刀闊斧進行改革。首先他對每個店面都建立「指導手冊」，而店鋪開發部與總公司另外有一本「業務標準書」。這兩份指導手冊，首度把工作上會碰到的各種情況都「標準化」，讓員工有一致努力的目標。並持續根據實際情況，進行制度改善，而這一切，說白了，其實就是通過制度與文化的打造，讓員工養成點點滴滴良好的工作習慣，進而促進生意增長。

2.2 青島海爾集團案例^[1]

大陸海爾集團曾一度虧損甚至瀕臨破產倒閉，而其原因為在一九八四年海爾誕生之時，中國仍毫無現代經濟的基礎條件，企業多為國營或集體，由工人共同擁有。資金無法廣泛活用，所有權歸屬無法量化到個人，服務性質的事業如通訊、保險、物流尚未完備。商業信用付之闕如，必須聽黨的意志併購績效差的集體企業以創造就業機會等等，這一條條的鐵欄杆，圍住了海爾的發展空間。海爾一起步，面臨的難題不只是和西方企業一樣的利潤目標。更困難的挑戰是，如何激勵習慣於「工人是主人」、「吃大鍋飯」心理的中國員工，面向市場、面對客戶。但到2000年5月海爾集團還被美國著名的科爾尼管理諮詢公司和美國《財富》雜誌社評為全球「最佳營運公司」。海爾集團為什麼能夠在這麼短的時間裡取得如此的成就，其中很重要的一個因素是海爾集團有非常健全的內部控制制度。首先，海爾集團的管理當局重視基礎管理，並不斷地組織變革的思想，把市場競爭機制引入企業內部，同時學習美國式的開放創新與日本的吃苦耐勞、團隊精神。如實行帳表化管理，做到「日事日畢，日清日高，事事有人管，人人都管事，管人憑業績，管事憑考核；堅持管理高質量，不做表面文章，注重管理實效，以法治廠，無一例外」。其次，因企業的內部控制中人的因素是至關重要的，所以在人事政策上著重合理和有效。制定出了合理的員工聘用機制、考核機制、激勵機制等。第三，注重合理的組織結構及明確的職責劃分方法。海爾的管理者認為合理的組織結構能夠保證企業內部控制活動的有效進行。最終形成了責權明確的管理體系，各個層次各負其責，形成了各部門、各單位之間相互聯繫，相互制約的內部控制體系。

2.3 小結

以上案例說明，若未能建立組織的內控管理制度，即使是大型企業都可能會面臨破產與解散的命運。健全內部控制制度之實施，雖不盡然保證各項事務之成功，但透過機關內部各種管理措施日趨健全，可合理促使：➀提升組織整體運作效能；➁達到興利及除弊之功能。最後要讓內部控制制度之設計及執行是否有效，關鍵在於：➀組織主管全力支持；➁全員參與凝聚共識；➂化繁為簡精進流程；➃控管風險即時修正。

3.計畫方法

3.1 內部控制制度

所謂內部控制係指企業組織或機構在日常運作上的一種管理過程，用以達到組織資訊之可靠性與完整性，管理階層之政策、計畫推動，法令遵循，組織資產、資源之有效利用，以使組織在營運或專案計畫目標之達成。亦即在合法中提昇績效，提高資源運用效能，使興利與防弊兼顧的重要制度，而制度內容主要由組織內部各單位設計、建置，組織所有員工均須共同遵循。

目前由美國COSO(Committee of Sponsoring Organization)委員會所發布的內部控制整體架構(圖1)，已是全球主管機關與企業參考之依歸，COSO指出內部控制包括五個相互有關聯的組成要素：

1. 控制環境：組織文化、內控認知(內控為所有人員責任並非稽核人員專屬工作)
2. 風險評估：辨認、分析與管理風險
3. 控制活動：政策、規章制度
4. 資訊與溝通：業務、財務資訊揭露與傳達
5. 監督：相關主管或稽核人員之內部稽核

圖1：內部控制架構

因此組織在制定內部控制制度時，就要從這五個方面著力：

1. 控制環境：影響控制環境之因素主要在➀組織內員工之價值觀與能力；➁主管階層之管理哲學與經營風格；➂部門權責之劃分與分工；➃聘雇與訓練員工，及指派工作之方式。
2. 風險評估：係指組織在運作管理上認為會影響其目標達不成之因素(即風險因子)，並評估風險因子之嚴重程度及發生可能性之過程(項目、金額、機率)，最後再制訂相關作法以降低風險發生之機率(如目前運作之內部控制自評管理)。
3. 控制活動：即執行所制定之控制政策與程序，以確保相關規章制度被執行之作為。而控制活動之目標是保障資產實體的安全、保證資訊之正確，或提昇績效。
4. 資訊與溝通：資訊指資訊的產生，溝通指資訊的傳遞。組織內之資訊要讓所有人清楚了解，同時可供相關規劃、監督等需求。溝通，則指把資訊適時適當地告知資訊需求者，讓相關執行者有所依循。
5. 監督：所謂監督，係指自行檢查內部控制制度品質之過程。評估前面四項因素之執行狀況。而監督又分兩種:➀持續性監督：係指在內部控制之執行過程中之力行並持續的監督，此為實際執行者執行；➁個別評估 : 係由內部稽核人員、監察人等人士進行，由於這些人不是業務的主要負責人，不可能持續不斷，故稱為個別或間斷評估。

前面提到台積電目前內部控制主要的做法是採用內部控制自評管理(CSA)(圖2)。內部控制自評是一種新興的審計技術，它將內部控制主要責任賦予組織管理層，同時使內部審計與管理層一道承擔對內部控制評價的責任，這使得以往由內部審計對控制的適應性及有效性進行獨立驗證發展到了全新階段，即通過設計，規劃和運行內部控制自我評估程式，由組織整體對管理控制和治理負責。在公司內部網站^[5]就提到CSA(Internal Control Self-Assessment)是一項全公司範圍的活動，是法規要求的，而且是被董事會成員高度重視的「軟控制」，其目的是為了使內部控制自評更有效和有意義。

圖2：台積電內部控制自評管理

3.2 風險管理架構^[3][4]

所謂風險管理，即為有效管理可能發生的事件及其不利的影響，所執行的步驟與過程。換句話說風險管理就是做預防的工作。而其基本架構(圖3)依行政院風險管理及危機處理作業手冊主要包括風險辨識、風險評估、處理、監控等程序，其主要目的就是在減少對組織有危害之事件發生的機率或其影響(圖4)。但這裡也要說明風險管理不是追求「零風險」，而是在可接受的風險下，追求最大的利益。

圖3：典型的風險管理架構

圖4：風險處理步驟

3.3 內部控制制度與風險管理的關係

內部控制包含在風險管理之內，係風險管理不可或缺的一部分。風險管理自內部控制延伸，其涵蓋的範圍比內部控制廣泛，且著重風險觀念。(圖5)

透過一個完整的由上到下的風險管理及內部管理架構，同時配合適度的監督審計，將可達到更好的績效管理與展現出組織的願景與目標。(圖6)

圖5：內部控制與風險管理的關係

圖6：風險管理與監度審計的關係

4.結果與分析

4.1 內部控制制度對風險管理的重要

由於半導體技術不斷的更新，當越來越精密的半導體產品被開發出來，其所需的生產條件也會越來越嚴苛。因此廠務在生產過程中的角色就越來越重要，如何提供穩定的水、氣體、化學品、半導體製造的環境，就需要確實的執行各項日常的工作。而我們目前在執行的內部控制自評管理，就是經過長期以來廠務在運轉上所遇到的問題，經由風險評估做成的各項預防再次發生的風險改善措施。尤其廠務涵蓋整個廠區辦公環境、生產環境、各系統之供應，從整個廠區的發包、建造、運轉到最後的維護都離不開廠務，因此要管理好整個廠務的會計、財務、工程、財產管理都做到位，訂定明確且合宜的內部控制制度是一件相當重要的事情(圖7、圖8)。尤其這幾年因應廠區大量且快速地建廠，人員的調動與招聘也越來越快，如何讓所有人在短時間內達到組織設定的目標，明確的內部控制制度是不可或缺的。

圖7：目標、風險與控制

圖8：規範、查核、風險控管關係

4.2 內部控制制度自動化管理

前面提到台積電各組織對內部控制做法主要是採用內部控制自評管理(CSA)。而廠務身為廠區生產晶片之支援單位，廠務各系統穩定的運轉對公司生產尤為重要，因此如何持續並穩定的維持系統運轉就是廠務最重要的任務，而這些均有賴於平日對各項風險控制點落實地執行以降低其在運轉上可能產生相對應的風險。因此廠務在內部控制自評控制點的落實執行就顯得相當重要。但以往廠務在內部控制自評管理上，做法為廠務執行窗口依各年度執行重點進行抽查控制點執行狀況，以確認現場實際執行之落實度，但這些真的足夠嗎？沒有被抽查到的真的有落實執行嗎？因此自2021年起，廠務主管有感於內部控制自評管理控制點落實執行對整體廠務在運轉管理上之重要性，但現行做法卻無法確認現場之即時執行狀況，因此，將組織內各單位之內部控制自評管理控制點，以系統化方式對所有控制點進行系統化管理(圖9~圖12)，系統會依各控制點的執行週期對執行者定期發出工單通知，再經由現場執行者回報並將執行狀況上傳至系統，再由相關權責單位人員進行審核確定，以確保各執行點均如實如期的被落實執行，同時系統化管理對未來在教育訓練與資料之查詢均具有相當程度之助益。

圖9：廠務內控管理系統首頁

圖10：廠務內控管理系統

圖11：CSA 風險控制點管理系統URD

圖12：廠務處內控管理系統架構

5.結論

5.1 內部控制制度對組織的重要與貢獻

目前廠務各單位組織在內控制度的管理上，主要還是依循內部控制自評之控制點，而這些控制點的設立都是經過長期以來在實際運轉上所遇到的問題或是被內部稽核單位提出的風險改善措施，且每年公司內部稽核也會與各單位負責人檢視其所評估之風險管理做法是否洽當並作適時的改進。因此廠務目前的內部控制自評控制點對廠務整體在運轉穩定上扮演著相當重要的角色。所以將內部控制自評之控制點深植入組織內的每個人的日常管理作為，將對組織整體不管在會計、財務、運轉管理上提供一個穩定的基礎。目前廠務內控管理系統上線之控制點共1025條，內容涵蓋從廠區發包、設計、監造過程、驗收管理、資安管理、原物料管理、運轉可能遇到之各種狀況模擬，同時廠務在內控管理制度上也設立了內部審計單位，針對這些運作中之風險控制點定期進行查核，以期能將內部控制制度發揮出最大的成效。

5.2 建議與未來展望

2021年廠務已將內部控制自評控制點執行系統化管理，此作為就是期望組織內的人員能落實內部控制自評控制點的執行，長期藉以逐步養成組織內所有成員提升對風險管理的文化素養。