作者簡介
謝智
百思特供應鏈&採購管理實戰專家
華為前矽谷研究所採購內控專家
二十年供應鏈與採購管理實戰經驗
何為陽光采購？企業應該如何建設採購內部的控制體系？管理者為什麼要關注內部控制？
華為多年實踐總結出一個道理：
在採購內部建立防線，可以有效減少公司不必要的浪費和損失、防止群體腐敗、改善公司運營的KPI、增加內控的成熟度
，最終達到提升管理效益和預防風險的目的
！
管理者為什麼要關注內部控制
安然公司&安信達公司醜聞
2000年， 世界上最大的電力天然氣及電信公司安然公司， 因為財務造假醜聞， 於2001年申請破產保護。負責審計安然公司的安達信會計事務所，本來是當時公認的世界五大會計師事務所之一，因為公開承認銷燬了與安然審計有關的檔案造成會計醜聞，不得不結束了九十年的會計審計的業務。
安然事件引起了美國上下震動， 美國國會也因此頒佈了薩班斯法案（ SOX法案），強調企業內部控制的重要性，也強調管理者要對內控負起應有的責任。
薩班斯法案（SOX法案）
安然和安信達公司事件，催生了薩班斯法案（ SOX法案），其中的404 和303 條款分別強調了內部控制的重要性及管理者面對內控的責任。
• 404 條款提及：管理層應主導設計公司內部框架，並評估和提交關於內控有效性的報告。
• 303 條款提及：管理層確保財務報告的相關控制可靠和有效，並簽署宣告以上還需外部審計師出具評估報告。
由此可見，
關注內部控制是外部監管者的要求，也是投資者信心的保障。
註冊舞弊審查師協會在2012年的調查顯示：由於公司內部控制不充分引起的欺騙、浪費、失去的機會導致3-7% 的收入損失。透過內控機制防止群體腐敗、改善公司運營的KPI，增強內控的成熟度，可以為公司提升管理效益。不僅如此，還可達到法律合規，減少受罰、訴訟風險和公關危機。
華為公司的內部控制體系有何出彩
華為公司在2013年12月，聘請了國際內審協會主席擔任華為內審部副總裁，並結合IBM實踐建立華 為特有的內部控制體系，華為的老總任正非先生也在會上提出了自己的理解和要求。簡而言之，華為的風險內控體系可以歸結為一句話：
一點兩面三三制
。
內控管理內部控制體系的一點
確立了華為內部控制管內部管理系統的目標，透過流程遵從，一步一步地提高運營效率、改善業務KPI、防止群體腐敗、提升內部控制的成熟度，最終達到一個目標：
促進業務目標達成、杜絕腐敗發生
。
內部控制基本概念-運作機制：兩面
兩面的第一面是指流程體系建設
，古人云，“無規矩，不成方圓。”
適應性強的流程，是內控合規的先決條件和基礎。為了避免長的審批流程，我們應當設定少而精的流程，關鍵控制點KCP（The Key Control Point），同時結合考慮業務和財務的目標，每個流程節點的責任都應該清晰地定義及反映這個流程獨特的價值。
華為公司作為一個全球的跨國公司，遍佈全球、各大洲、各大國家和各個區，當地代表處的結構組織，應該根據公司上層的流程檔案的關鍵控制點，結合當地的實際情況來適應當地的環境，並且遵循外部規則來修正或設計當地的下一層級和下一級流程。
至於KCP關鍵控制點的要求，我們舉一個例子：採購有一個重要的環節叫供應商認證，在這個流程裡有一個關鍵的控制點，叫確保認證供應商的合法企業是符合資質的，那麼它的KCP設定就包括：
第一，認證的供應商要滿足最低資質要求；
第二，供應商所有的註冊檔案是否合法有效；
第三，供應商的資質綜合評估報告是否經過認證小組和採購決策評審組織三分之二的成員批准或者透過。
兩面的另外一面叫責任體系建設
，它的基礎依然是流程體系建設所提及的：在每個流程的節點，清晰地定義每個角色的責任，同時建立採購問責制度和質量扣分制，對採購人員做到真正的有據可依、有法必依、違法必究。
內控管理內部控制體系的三三制
第一個“三”：內控的三道防線
上圖是華為內控的三道防線。任總曾經在內部講話時，專門提及華為內控的三道防線。
第一道防線是業務主管
，我們稱之為流程的Owner或是業務的Owner。第一層防線的各個業務主管，必須在業務運作中控制風險，這是最重要的防線，企業應該把90% 以上的精力放在第一層防線的建設。不僅如此，第一層防線既要有規範性還要有靈活性，沒有靈活性就不能響應不同客戶服務的需要，最終的目的還是讓業務主管承擔起內控的責任。
第二道防線是以財經管理系統的內控管理部牽頭
，
並且分佈在各個業務職能部門的內控人員與隊伍
， 我們稱之為流程的Controller，也就是Process Controller或者業務的Controller。這個職位多數是兼職的，他們作為公司內控的第二道防線，主要職責是擔負起內部控制方法論的推廣，建立起流程監控的制度、崗位、角色，並給廣大的業務主管進行內控的賦能，再讓業務主管走向前線。
第三道防線是公司的
獨立審計。第一道防線要把絕大部分工作要做完，但是他們可能有疏忽，所以我們透過第三道防線的監督，透過對疏漏的檢查建立起冷威懾，同時可以修補漏洞。任總強調，華為在第三道防線的公司獨立審計永遠不會消失。透過建立起第三道防線的冷威懾，以此配合第一道防線的建設。
第二個“三”：內控三大工具CT、PR、SACA
內控管理內部控制第一個工具叫CT（ Compliance Testing）
，它是指流程的Owner、指定的獨立人員要對流程關鍵控制點KCP進行例行的檢查測試。上文提及流程體系的每一個流程節點都會有關鍵控制點，而
CT就是要確認這些KCP是否有效執行，以此改進流程的遵從性，同時也確認KCP是否設定合理
。CT等於是日常的自我檢查，一般每個月做一次測試，在華為內部由系統進行自動抽樣，基本上覆蓋了所有重大的採購專案。而後內控人員就會按照流程的規定覆盤這些重要的採購專案，檢查它們是否符合流程的KCP。
內控管理內部控制的第二個工具叫PR（ Proactive Review）
，也是業務部門主管發起的一種自我檢查。
它聚焦在採購專案執行過程中的業務痛點，幫助專案識別及發現問題，並基於流程改進問題
，所以它的出發點就是業務的痛點、流程的效率和業務的產出。由於華為在推行CT的初期，各個部門良莠不齊，CT發現內控的問題僅佔10% 左右，而PR可以檢查CT的質量，發現Top級的業務問題。因此，PR發現的問題量往往佔80% 左右，PR的主要用途是複核CT的工作質量以發現未知的風險。
內控管理內部控制的第三種工具是SACA（Semi-annual Control Assessment）
。SACA每半年進行一次內控評估，它是各級管理者對自己所負責的業務領域的內部控制系統的設計，可以對執行的有效性進行全面評估，旨在客觀評估整體業務風險和改進情況，支撐相關領域的自我改進和自我管理。
如果CT是日常的自我檢查，PR是特殊的專項檢查，那麼SACA就是全身整體的檢查。
它主要涵蓋5 個方面：第一，流程內控；第二，財報內控；第三，反腐敗；第四，合規運營；第五，自我管理機制
。流程內控、財報內控、反腐敗合規運營是評估的結果，而自我管理機制能夠保證這些結果被持續地發現。
華為陽光采購內控體系小結
一點目標，兩面體系建設，三道防線，三種內控工具，“一點兩面三三制”貫徹華為的採購內控體系，為企業減少浪費和損失、防止群體腐敗、改善公司運營的KPI、增強內控的成熟度， 最終達到提升管理效益和預防風險的目的。
當前，國際國內形勢正在發生深刻而複雜的變化，我國發展面臨的重要戰略機遇期也呈現出新特點，而部分國際的生產型企業也不得不進行產業鏈的重構。在未來產業鏈重構過程中，全球供應鏈也將呈現一些新的變化。在知識經濟背景下，中國企業核心競爭力的提升，在於國際化採購和供應鏈管理的發展。
面對全球供應鏈可能發生的這些變化，中國企業必須未雨綢繆，做好風險化解準備。努力構建中國企業全球供應鏈競爭新優勢，推動企業應急變革能力。而採購作為企業外部資源整合與協同的重要抓手，如何增價值、建能力、達目標，讓採購成為企業核心競爭要素，對企業來說具有重大意義。
