資質(zhì)認(rèn)證已通過(guò)
完善內(nèi)部控制環(huán)境建設(shè)、建立合規(guī)行為獎(jiǎng)勵(lì)制度，有效防范商業(yè)泄密
摘要：國(guó)際內(nèi)部控制協(xié)會(huì)ICI強(qiáng)調(diào)由管理層建立的控制環(huán)境應(yīng)當(dāng)包括組織結(jié)構(gòu)、不相容職責(zé)分離、管理層參與控制活動(dòng)以及對(duì)合規(guī)性控制行為進(jìn)行獎(jiǎng)勵(lì)等制度。行為變化必須始終與獎(jiǎng)勵(lì)制度聯(lián)系在一起，而且改變行為的最有效方法之一是獎(jiǎng)勵(lì)“好的”行為。而目前試圖改變行為的最普遍方法是處罰，這種方法仍然被一些企業(yè)頻繁地用在員工身上。很多事實(shí)證明好的獎(jiǎng)勵(lì)比懲罰會(huì)讓員工更快地接受公司給他們下達(dá)的工作目標(biāo)。
??健庭，內(nèi)控網(wǎng)運(yùn)營(yíng)總監(jiān)，這是健庭的第7篇文章
某材料股份有限公司在創(chuàng)業(yè)板折戟后重振旗鼓，于今年7月轉(zhuǎn)戰(zhàn)科創(chuàng)板，選擇的上市標(biāo)準(zhǔn)是預(yù)計(jì)市值不低于人民幣10億元、最近一年凈利潤(rùn)為正且營(yíng)業(yè)收入不低于人民幣1億元。作為國(guó)內(nèi)生產(chǎn)真空絕熱板的龍頭企業(yè)，該公司是國(guó)家火炬計(jì)劃重點(diǎn)高新技術(shù)企業(yè)，其研發(fā)實(shí)力極強(qiáng)，在行業(yè)內(nèi)更是是翹楚，市場(chǎng)競(jìng)爭(zhēng)力強(qiáng)勁。并在2018年的凈利潤(rùn)實(shí)現(xiàn)了翻三番的好成績(jī)。
雖然，曾經(jīng)阻撓了公司IPO的專利糾紛案也在去年落下了帷幕，在與松下電器歷經(jīng)了4年的專利侵權(quán)拉鋸戰(zhàn)最終實(shí)現(xiàn)了和解。不過(guò)，《壹財(cái)信》發(fā)現(xiàn)該材料公司報(bào)告期內(nèi)曾陷入商業(yè)秘密糾紛、存在技術(shù)人員流失問(wèn)題，公司員工采購(gòu)易制毒化學(xué)品未備案等問(wèn)題接連卷入了訴訟案件。投入如此多心血、擁有如此雄厚的研發(fā)團(tuán)隊(duì)，該如何防止研發(fā)成果被盜取、技術(shù)人員流失，相信這對(duì)公司的內(nèi)控的管理上來(lái)說(shuō)是一個(gè)嚴(yán)峻考驗(yàn)。
根據(jù)《反不正當(dāng)競(jìng)爭(zhēng)法》第十條規(guī)定，“商業(yè)秘密，是指不為公眾所知悉，能為權(quán)利人帶來(lái)經(jīng)濟(jì)利益，具有實(shí)用性并經(jīng)權(quán)利人采取保密措施的技術(shù)信息和經(jīng)營(yíng)信息。”這一定義揭示了商業(yè)秘密的三層內(nèi)容：第一，它是不為眾人所知，無(wú)法從公開(kāi)渠道獲得的信息或資料；第二，具有重大的實(shí)用價(jià)值，但需注意，公開(kāi)渠道可以獲取的、有著重大實(shí)用價(jià)值的信息，不屬于商業(yè)秘密；第三，信息應(yīng)被合理保護(hù)，以確保信息不會(huì)被外泄。如果因?yàn)楸Ｗo(hù)措施不當(dāng)而自行泄漏的，不是侵犯商業(yè)機(jī)密的行為。
從總結(jié)近些年商業(yè)秘密泄露事件上來(lái)看，商業(yè)秘密泄密主要包括內(nèi)部員工泄密和外部人泄密。很明顯“人才流動(dòng)造成商業(yè)秘密泄露”就屬于內(nèi)部員工泄密的一種?？萍计髽I(yè)的商業(yè)秘密關(guān)乎企業(yè)生死存亡，是企業(yè)的生命線。因此在泄密與護(hù)密之間，永遠(yuǎn)存在著一場(chǎng)力量抗衡，商業(yè)世界的戰(zhàn)爭(zhēng)有時(shí)甚至是一場(chǎng)潛伏與反潛伏的暗戰(zhàn)。
對(duì)于企業(yè)而言，采取事前防范措施比事后“亡羊補(bǔ)牢”重要的多，因?yàn)槊孛芤坏┬孤?，再多的救?jì)也是枉然，對(duì)企業(yè)造成的損失不是一點(diǎn)賠償金就可以彌補(bǔ)的。商業(yè)機(jī)密泄露事件的發(fā)生很大程度是由于內(nèi)部控制環(huán)境失效。在內(nèi)部控制環(huán)境建設(shè)方面，國(guó)際注冊(cè)內(nèi)部控制師CICS知識(shí)體系中介紹了建立有效控制環(huán)境的十大屬性。
美國(guó)COSO委員會(huì)將系統(tǒng)控制和交易處理控制這兩個(gè)層級(jí)的統(tǒng)稱為業(yè)務(wù)層面控制。但除非執(zhí)行管理層建立了一個(gè)有益于有效控制的環(huán)境，否則，控制措施將不會(huì)發(fā)揮其應(yīng)有的作用。國(guó)際內(nèi)部控制協(xié)會(huì)ICI強(qiáng)調(diào)由管理層建立的控制環(huán)境應(yīng)當(dāng)包括組織結(jié)構(gòu)、不相容職責(zé)分離、管理層參與控制活動(dòng)以及對(duì)合規(guī)性控制行為進(jìn)行獎(jiǎng)勵(lì)等制度。
- 重視內(nèi)部控制環(huán)境的建設(shè)
首先，機(jī)構(gòu)要重視內(nèi)部控制環(huán)境的建設(shè)。一個(gè)缺乏有效控制的環(huán)境會(huì)如何影響特定控制措施的實(shí)施呢？以商業(yè)機(jī)密保護(hù)舉例，管理層認(rèn)為安全與保密是組織的一個(gè)重要控制目標(biāo)，但是，如果管理層不要求組織制定安全與保密政策，不要求員工堅(jiān)持安全與保密的習(xí)慣做法，那么，一些員工就會(huì)把密碼標(biāo)簽貼在計(jì)算機(jī)終端上，他們不會(huì)不定期更換密碼，也不會(huì)追究泄漏密碼的行為。另一方面，如果管理層認(rèn)為安全與保密是很重要的，他們就必須親自參與制定安全政策、實(shí)施安全保障的控制措施，并且處罰違反安全政策的人員。
需要反復(fù)強(qiáng)調(diào)的是，缺乏有效的控制環(huán)境，人們將無(wú)法信賴系統(tǒng)控制和交易處理控制的有效性。如果管理層不強(qiáng)調(diào)員工的誠(chéng)實(shí)性，不處罰營(yíng)私舞弊的人員，不建立適當(dāng)?shù)谋O(jiān)督流程來(lái)確?？刂葡到y(tǒng)正常運(yùn)行，也不要求內(nèi)部審計(jì)部門定期地進(jìn)行審計(jì)，檢查交易事項(xiàng)的準(zhǔn)確性和完整性，在此情況下，一些員工就會(huì)為了個(gè)人利益而從事欺詐、貪污等損害組織利益的行為。
- 各層級(jí)人員共同參與控制措施落地
其次，有效的控制需要全員參與控制措施的落地。有效的控制是董事會(huì)和組織中每個(gè)員工的責(zé)任。管理層創(chuàng)建一個(gè)良好的控制環(huán)境是很重要的，在這一環(huán)境中每一員工都認(rèn)為控制是很重要的，并且成為實(shí)施控制措施的積極參加者，確保那些需要控制的事項(xiàng)真正得到控制。
執(zhí)行管理層有責(zé)任創(chuàng)建有益于控制措施實(shí)施、監(jiān)控和處罰違規(guī)行為的環(huán)境。管理層必須提出有效控制環(huán)境的屬性，明確各級(jí)管理部門的職責(zé)，并確?？刂拼胧┑玫截瀼貓?zhí)行。
董事會(huì)負(fù)有監(jiān)督控制環(huán)境的責(zé)任，并強(qiáng)調(diào)解決違反控制制度的行為。董事會(huì)應(yīng)當(dāng)要求首席執(zhí)行官提供構(gòu)建控制環(huán)境的適當(dāng)保證。所有重大的違反控制制度的行為和對(duì)這些行為采取的糾正行動(dòng)都應(yīng)當(dāng)通知董事會(huì)。為了有助于實(shí)現(xiàn)這些控制職責(zé)，董事會(huì)通常會(huì)任命獨(dú)立審計(jì)師和內(nèi)部審計(jì)師幫助他們?cè)u(píng)價(jià)控制系統(tǒng)的有效性，確保管理層遵守各項(xiàng)控制制度。
中級(jí)管理層（即負(fù)責(zé)財(cái)務(wù)會(huì)計(jì)、人力資源、信息技術(shù)、采購(gòu)、生產(chǎn)和銷售等職能和業(yè)務(wù)的管理人員）有責(zé)任對(duì)他們的職能領(lǐng)域或業(yè)務(wù)活動(dòng)建立控制目標(biāo)。例如，信息技術(shù)部門可能設(shè)立一個(gè)控制目標(biāo)，要求所有軟件在安裝進(jìn)入系統(tǒng)之前，應(yīng)當(dāng)接受單獨(dú)的測(cè)試；應(yīng)收賬款可能有一個(gè)目標(biāo)，即所有開(kāi)票的項(xiàng)目都已正確記入應(yīng)收賬款，并收款或采取行動(dòng)去催收。
員工有責(zé)任嚴(yán)格執(zhí)行和實(shí)施控制措施。在大多數(shù)的組織內(nèi)，信息技術(shù)部門職員的工作涉及其職能范圍內(nèi)的所有員工，這有助于信息技術(shù)部門確定需要控制的程度。在許多情況下，員工決定著信息系統(tǒng)控制的正確方法。
- 重視獎(jiǎng)懲制度調(diào)動(dòng)員工的積極性
最后，重視獎(jiǎng)懲制度調(diào)動(dòng)員工的積極性。員工因?yàn)樽隽斯芾韺酉Ｍ龅降氖虑槎艿姜?jiǎng)勵(lì)，做了管理層不想做的事情而受到懲罰。如果實(shí)現(xiàn)商業(yè)機(jī)密保護(hù)是管理層的主要目標(biāo)，那么，有效執(zhí)行安全防護(hù)措施的個(gè)人應(yīng)當(dāng)受到獎(jiǎng)勵(lì)，而未能很好執(zhí)行安全防護(hù)措施的人就不應(yīng)當(dāng)?shù)玫姜?jiǎng)勵(lì)。
如果A員工花費(fèi)了額外的時(shí)間和精力來(lái)保護(hù)系統(tǒng)信息安全，而B(niǎo)員工沒(méi)有花費(fèi)時(shí)間和精力，那么，應(yīng)當(dāng)對(duì)A員工的額外工作給予獎(jiǎng)勵(lì)。如果對(duì)這兩個(gè)人的獎(jiǎng)勵(lì)沒(méi)有明顯差別，這種信息就變得很清楚。更糟糕的是，如果A員工因?yàn)樵谄渌麉^(qū)域的安全方面花費(fèi)時(shí)間而受到處罰，管理層傳遞的信息就是，不要在系統(tǒng)信息安全上花費(fèi)任何時(shí)間或精力。一些組織強(qiáng)調(diào)他們希望有一個(gè)良好的系統(tǒng)信息安全計(jì)劃，而管理者卻不對(duì)那些嚴(yán)格執(zhí)行其工作要求的員工進(jìn)行獎(jiǎng)勵(lì)。
行為變化必須始終與獎(jiǎng)勵(lì)制度聯(lián)系在一起，而且改變行為的最有效方法之一是獎(jiǎng)勵(lì)“好的”行為。而目前試圖改變行為的最普遍方法是處罰，這種方法仍然被一些企業(yè)頻繁地用在員工身上。很多事實(shí)證明好的獎(jiǎng)勵(lì)比懲罰會(huì)讓員工更快地接受公司給他們下達(dá)的工作目標(biāo)。
獎(jiǎng)勵(lì)制度不一定是金錢獎(jiǎng)勵(lì)制度。除了金錢之外，還有許多獎(jiǎng)勵(lì)辦法，并且在許多情況下將更為有效。這意味著安全任務(wù)的績(jī)效應(yīng)當(dāng)是決定貨幣報(bào)酬增加的一個(gè)重要因素；但貨幣不應(yīng)當(dāng)是唯一的獎(jiǎng)勵(lì)辦法。
對(duì)有效執(zhí)行系統(tǒng)安全或商業(yè)秘密保護(hù)任務(wù)的員工可以得到獎(jiǎng)勵(lì)的方式包括：
● 管理層的贊揚(yáng)和認(rèn)可，特別是在同事面前表?yè)P(yáng)；
● 允許受表?yè)P(yáng)的人參加研討會(huì)和其他項(xiàng)目，以提高其系統(tǒng)安全的專業(yè)技能；
● 任命受表?yè)P(yáng)的人擔(dān)任某一系統(tǒng)安全領(lǐng)域的領(lǐng)導(dǎo)職務(wù)，例如安全質(zhì)量協(xié)會(huì)的協(xié)調(diào)員；
● 月度安全員，或一些其他形式的正式認(rèn)可 （在一些組織中，具有出色業(yè)績(jī)的員工可以帶家屬享受一次由公司付款的晚宴。通常情況下，主管人員會(huì)出席這種晚宴）；
● 在決定晉升方面，如果兩個(gè)人同樣有資格擔(dān)任某一職位，那么優(yōu)先晉升更好地完成系統(tǒng)安全任務(wù)的人，應(yīng)調(diào)高這個(gè)人的職務(wù)。
綜上所述，內(nèi)部控制環(huán)境建設(shè)應(yīng)當(dāng)包括組織結(jié)構(gòu)、不相容職責(zé)分離、管理層參與控制活動(dòng)以及對(duì)合規(guī)性控制行為進(jìn)行獎(jiǎng)勵(lì)等制度。建立健全內(nèi)部控制體系非常必要，只有將企業(yè)內(nèi)部控制環(huán)境建設(shè)好，才能更好地支持企業(yè)發(fā)展，不斷增強(qiáng)企業(yè)信心，激發(fā)經(jīng)濟(jì)發(fā)展新動(dòng)能，為企業(yè)高質(zhì)量發(fā)展提供有力支撐。
如果您正在籌備建立本企業(yè)的內(nèi)控體系但不知從何處著手，或者如果您的企業(yè)已初步建立了內(nèi)控體系，但控制成本高昂而實(shí)施效果又不能令人滿意，歡迎您參加國(guó)際內(nèi)部控制協(xié)會(huì)ICI中國(guó)總部舉辦的《國(guó)際注冊(cè)內(nèi)部控制師CICS證書(shū)培訓(xùn)班》。您可以登陸國(guó)際內(nèi)部控制協(xié)會(huì)ICI中國(guó)總部官方網(wǎng)站：內(nèi)控網(wǎng)www.neikong.com進(jìn)行報(bào)名咨詢。
來(lái)源：國(guó)際內(nèi)部控制協(xié)會(huì)ICI中國(guó)總部
近期課程安排：3月、6月、9月、11月
《國(guó)際注冊(cè)內(nèi)部控制師CICS資格認(rèn)證》面授及網(wǎng)絡(luò)課程學(xué)習(xí)班：
近期課程：9月18日-21日 北京
報(bào)名鏈接：http://www.neikong.com/kecheng/detail_870826
聯(lián)系電話：010-68004176、68004186
聯(lián) 系 人：孫老師、邱老師
