內部控制的方法（5）：Physical safeguards

就資產、現金、文件等等物品而言，最基本而且重要的控制方法就是「鎖起來」，鎖匙交由信得過的人甚至親自保管，其實這就是「取存控制（access control）」。當然，access control只是起步，我們還要因應物品的種類，去考慮儲存環境（防火、防水、防蟲等等），儲存時限或時效，和進出記錄等。

舉個較簡單的實例—現鈔，我們除了要找個堅固的夾萬把它們鎖起來外，還要考慮這個夾萬是否防火，並且有沒有需要加防蟲劑甚至防潮劑。現鈔的進出記錄要如何去做才穩妥。還有最容易被忽略的，就是時效，即是如何防止現鈔因舊版問題而變成失效。當然，這些機會不大，但若現鈔存量很多，可能有些放在夾萬角落的現鈔長期沒有人碰過，又或者存放了其他地方的貨幣，但又不知道將會改版。所以，應至少有個機制去防止這種幾十年一遇的事情發生。

就儲存時限而言，用現鈔的確太誇張，如果儲存的東西是食物、藥物或者化學物品的話，相信就比較容易明白。最近有報導說，某幾家大型超市浪費食物，不單把仍可食用的食品倒掉，更有超市在這些食物上灑上漂白水，我看這也是Physical safeguard的手段，不過難看極了！完全暴露出其管理人員的作態。

站在超市的立場，銷毀賣不出去的食物，免卻了有人寧願撿拾食物也不肯買來吃，但畢竟這些人只佔顧客少數，最大的考慮似乎是出於責任問題。若果有人吃了這些食物出了事，難保超市不須承擔責任。況且銷毀食物的成本早以打進了顧客身上，浪費的又不是自己的錢，把食物捐到慈善團體既麻煩又涉及成本，他們當然不肯做多一步。沒有誘因要企業盡社會責任？難矣！

回正題，除了要留意物品本身的access control外，其外部環境也要顧及得到，例如將夾萬放在上鎖的房間內，甚至裝設在隱秘的地方（例如油畫後面？），而不是放置在公用地方。

曾在某機構工作時，他們就將公司所有地方劃分做不同的區域，每個地區由不同的顏色來代表，每位職員的職員證上都有顏色條，代表該位職員能夠進入的區域。要獲得這些顏色條，除了本身的職責外，還要接受安全培訓。

其實access control是一個頗為專業的範疇，維基有一個容易明白又詳細的介紹，有興趣不妨參考一下。

&&&&&&&&