出纳员李某在2021年3月到2022年7月之间，银行从自己经手的存款公司银行账户里先后取走现金47笔，累计金额超过260万元。控制她用的中常手段并不高明——每次填一张现金支票，金额控制在5万元以下，见漏理由是擅自“备用金”或“差旅费”。支票存根联她单独存放，提现不附在记账凭证后面。银行会计做账时只看到银行对账单余额对得上，存款就没再追问。控制直到公司一笔大额付款因账户余额不足被退回，中常老板让人去银行拉流水，见漏才发现账户早就被掏空了。擅自

这个案子暴露的提现不是什么高智商犯罪，就是银行一个最原始的控制漏洞：出纳同时管钱、管账、管支票。银行预留印鉴里的财务章和法人章，按规定应该分开保管，但这家小公司图省事，两枚章都锁在出纳抽屉里。她每次去银行提现，自己盖章、自己填支票、自己取钱、自己回来做账，整个链条上没有任何一个人能拦住她。

支票存根不连续，是第一个信号

很多公司用支票本的时候不注意编号连续性。李某就是钻了这个空子——她把作废的支票存根撕掉，或者把存根联藏起来，只把银行回单附在凭证后面。会计看到银行回单上有扣款记录，金额跟发票对得上，就认为这笔支出没问题。但银行回单只显示“现金支取”，不显示谁取的、干什么用的。如果会计多问一句“这笔现金给谁了”，或者核对一下支票存根本来的编号顺序，漏洞马上就会暴露。

我见过一家做得稍微正规点的公司，他们要求出纳每次提现必须填一张“现金支取申请单”，上面要有部门负责人签字、财务经理签字、老板签字。三个人签完才能去银行。听起来挺严，但实际执行中，出纳拿着三张签好字的空白申请单，自己填金额、自己填日期，照样能分批取钱。签字的人根本没看金额栏——他们默认“出纳填好了我才签的”。

银行对账单不核对明细，等于没核对

李某的公司每个月都拿银行对账单跟账本对余额。余额能对上，因为李某每次取完钱都会做一笔“库存现金”增加的凭证，然后隔几天再用“费用报销”的名义把库存现金冲掉。她伪造了一堆报销单，自己签字、自己审批。会计只核对银行余额，不核对每一笔支出的原始凭证，所以余额一直是平的。

真正的控制点在于：银行对账单上的每一笔“现金支取”，都要能找到对应的、经过独立审批的原始单据。不是只看余额，是看明细。李某的报销单上，很多发票是连号的，甚至有几张是同一家打印店开的“办公用品”，金额都是4980元——刚好卡在5000元的审批线以下。会计如果稍微翻一下凭证，就能看出问题。

印鉴保管和网银U盾不能放在同一个人手里

现在很多公司改用网银，觉得比支票安全。但李某后来也用了网银——她把制单U盾和复核U盾都放在自己抽屉里。公司规定“复核U盾由财务经理保管”，但财务经理经常出差，为了方便，就把U盾密码告诉了李某。李某用制单U盾发起一笔“备用金”转账，再用复核U盾自己批准。银行系统只认U盾，不认人。

这个漏洞跟支票时代的“两枚章放一起”一模一样。技术变了，控制逻辑没变：任何一个人不能同时掌握发起交易和批准交易的两把钥匙。物理钥匙也好，电子密钥也好，分开保管不是形式主义，是让一个人想干坏事的时候，至少需要第二个人配合或者失职。

李某最后被判了职务侵占罪，公司追回了不到40万。剩下的钱她拿去还了网贷和赌债。老板后来跟我说，他最后悔的不是没装监控，而是“太相信人了”。可内部控制从来不是建立在信任上的——它是建立在“假设每个人都有可能出错或者使坏”的基础上。出纳擅自提现这件事，防住的成本很低，不防的代价很高。