追求不完美的控制

初入內部審計（Internal Audit）這一行時，經常認為企業應該追求完美的內部控制，如果被審者不認同的話，我會視他們為懶惰，怕麻煩及欠承擔。

現在回想起來也覺得自己當時的想法幼稚，工作了多年，最後才醒覺，一盤生意講求的是利益和成本效益，不能像藝術般去追求完美。況且，完美的控制根本就不存在，至少我未見過。

其實控制要去到那一個程度要視乎成本效益，當控制帶來的效益高於設置及執行的成本的話，這個控制就值得去做。

舉個極端的例子，一家公司有幾百元現金用來做Petty cash，公司不會花幾十萬去買個夾萬來鎖這些現金，而且也不會在放置現金的地方特別加装ＣＣＴＶ，以及派護衛24小時守候吧，對不對？現實中，公司只會花相配的資源去做控制，例如將現金鎖在抽屜，及找人不定期做盤點就已經可以了。

其實控制的設計要點在於「剛剛好」，有時比起追求完美還來得辛苦和困難。因為如果要追求完美，時間金錢效益可以通通不管不理，就以上Petty cash的例子，夾萬、ＣＣＴＶ、護衛等通通都拿來用，乾手淨腳。但如果追求不完美而且要做到剛剛好的話，控制的成本效益就必需要考慮，較甚麼都不用理會麻煩，是吧？

我不時都會收到從事內審的網友的電郵，而最普遍的提問是那裡可以找到流程的標準做法。其實根本沒有所謂的標準，因每家公司的情況不同，就算是相同的行業，不同公司的做法都可以不一樣，所以設計控制時要因時制宜，不要將所謂的標準當做聖經而硬套在流程中。

&&&&&&&&