针对案件暴露的漏洞和短板 提出

去年底某地一起职务侵占案宣判，针对被告人用三年时间从公司账户转走七百多万。案件手法不新鲜——伪造供应商合同、暴露虚开发票、漏洞和短板老板签字栏用PS合成。提出但复盘时发现，针对财务系统里其实早有异常：同一家供应商每月固定收款，案件金额精确到分，暴露周末和凌晨频繁提交付款申请。漏洞和短板系统没报警，提出因为没人设置过这类规则。针对

漏洞不在技术，案件在人的暴露假设。很多公司买财务软件时觉得“系统能管住”，漏洞和短板可默认配置只防操作失误，提出不防蓄意绕过。审批流设了三级，但第三级审批人长期出差，密码交给助理代点。助理不知道自己在批什么，只觉得“老板让点的”。这种“信任代理”在中小企业太常见了，常见到没人觉得是个问题。

更隐蔽的短板是岗位轮换的缺失。那家公司的出纳岗五年没换人，会计和出纳是夫妻。不是制度没写“不相容岗位分离”，是写了没人执行。老板觉得“老员工信得过”，直到警察上门才想起来查银行流水。类似案例我见过至少四起，两起是亲戚，两起是同学。熟人社会的信任逻辑嵌进公司治理，制度就成了墙上的装饰画。

技术层面也有可说的。现在很多企业用OA审批，但审批记录和财务系统是两张皮。OA里批了“付A供应商十万”，财务系统里可能录成“付B供应商八万”，中间靠人工核对。人工核对意味着可以偷懒，可以“明天再对”。有个案子就是利用这个时间差，把OA审批单截图发给财务，财务没点开原单就录了系统。截图可以P，原单不能。但没人要求必须点开原单。

审计环节同样薄弱。外部审计通常一年一次，抽样看凭证。抽样就有概率漏掉。那个七百多万的案子，审计师抽了三十笔，恰好没抽到问题笔。不是审计师不尽责，是抽样方法本身有局限。更关键的是，审计看的是“票据合规”，不看“业务合理”。发票是真的，合同是真的，但供应商根本不存在。审计师不会去查供应商的工商注册地址是不是个废弃仓库。

我观察到一个规律：出事的公司往往不是没制度，是制度太“标准”了。从网上下载一套模板，改个公司名就贴墙上。模板假设公司有董事会、有内审部、有轮岗条件。小公司哪有这些？硬套的结果是制度悬空，执行的人觉得“反正做不到”，干脆全凭习惯。习惯一旦形成，漏洞就固定下来了。

要补这些洞，得从最脏最细的地方下手。比如付款账户的白名单机制——供应商账户第一次录入必须双人视频核实，后续变更要原路退回验证。比如审批系统强制阅读原文，截图上传的一律驳回。比如出纳和会计的电脑禁止安装远程控制软件，U盾保管人每月轮换。这些措施不高级，但管用。管用的前提是有人真的去查、去罚、去改。

还有个笨办法：老板每月随机抽三笔付款，自己打电话给供应商问“收到没有”。听起来像不信任员工，但信任不该替代验证。那个七百多万的案子，如果老板打过一次电话，骗局撑不过三个月。可惜没有如果。