觀點投書：1,200萬元罰單、6,334件疑義帳款─制度沒落實比沒制度更危險

金管會8月11日對合作金庫商業銀行核處1,200萬元罰鍰，起因是該行受理信用卡疑義帳款案件時，自104年至113年間有6,334件未即時向信用卡國際組織申請退款，累計損失約新臺幣1億164萬元。除罰鍰與糾正外，金管會更要求該行停止受理新客戶信用卡業務一個月，待改善獲認可後方能恢復。

這張罰單背後藏著一個所有治理工作者都該正視的命題：企業最危險的處境，從來不是沒有制度，而是制度存在，卻沒有人真正落實執行。

金管會將本案缺失明確分為「未完善建立」與「未確實執行」內部控制制度兩類。前者是設計層次的缺口—未完善建立信用卡疑義帳款作業規範及相關控管機制；後者則是執行層次的失能—已訂定信用卡會計作業控制重點，未確實執行信用卡會計帳務處理作業，以致制度雖存，卻未落實。

這是銀行內部控制監理實務中，對控制作業「設計之有效性」與「執行之有效性」分別檢視的核心要求。合庫銀行的案例恰好示範，這兩種失靈同時存在，且相互強化—制度設計不完善，執行便無所依循；即便已有相關規範，缺乏有效執行方式，也可能讓制度形同虛設。

本案最值得警惕的細節之一，是信用卡疑義帳款案件從系統登打、進度追蹤到帳務調節，均由同一人辦理，金管會因此認定該行欠缺牽制原則。這看似只是人力配置的問題，實則觸及內部控制最基本的職務分工原則。

當一項高風險業務的多個關鍵控制活動集中由同一人執行，錯誤便可能在流程內部自行流轉，而缺乏另一個獨立控制點予以檢驗。換言之，問題不只是「一個人做太多事」，而是原本應該存在於流程中的「第二雙眼睛」消失了。

原本應由不同角色分別把關的控制點，因職務集中而失去應有的獨立性，這正是本案6,334件案件長期未被有效檢驗的重要內控缺口之一。

更值得深究的是，104年至109年間疑義帳款案件的複查申請書、持卡人聲明書與交易明細，竟於110年至113年間陸續銷毀，其中部分案件當時尚未完成處理程序。

這個問題的本質，不只是文件管理疏漏，而是查核軌跡的斷裂。內部控制要回答的問題，從來不只是「當下有沒有做對」，還必須回答「事後能不能證明當時確實做對了」。

當尚未結案的關鍵文件已遭銷毀，組織失去的不只是原始資料，而是重新建構事實、驗證控制是否曾經運作，以及日後追究責任的能力。 （相關報導： 合庫銀信用卡爭議款10年全由同一人經手　6334件沒處理、金管會罰1200萬 ｜ 更多文章 ）

與此同時，業務單位未訂定作業流程，稽核單位也未就此建立查核工作底稿，形成「有業務、卻缺乏相應稽核機制」的窘境。當業務端控制與管理監督機制未能有效發揮作用，理應作為第三道防線的內部稽核，卻連立足的依據都付之闕如。

本案另一個值得深究的細節，是該行員工輪調施行要點雖明定輪調須滿六個月始得回任原職，實務上卻「流於形式」。

這句評語耐人尋味：制度白紙黑字寫得清楚，執行上卻背離了制度設計的初衷。如果輪調只是完成「人員位置的異動」，但實際工作內容、系統權限、資訊接觸及控制責任並未產生實質變化，那麼輪調完成的只是「制度要求的天數」，卻未必完成「風險隔離的目的」。

這正是形式合規與實質控制有效性之間的落差—一項風險緩解機制若只求滿足表面條件，其防禦效果自然大打折扣，甚至淪為一種自我安慰式的合規劇場。

真正值得銀行治理階層警惕的，或許不是1,200萬元罰鍰，而是「停止受理新客戶信用卡業務一個月」的處分。

罰鍰針對的是過去的缺失事實；業務限制反映的，則是監理機關對該行現行控制能力及改善成效的高度關切。金管會要求該行完成改善並經認可後，才能重新受理新客戶，這代表在監理機關眼中，問題已經不只是「過去做錯了什麼」，而是「現在是否有能力確保不再重演」。

這也是本案除罰鍰與糾正外，金管會另要求合庫依責任地圖檢討總行督導管理人員責任，並由稽核單位列管追蹤的原因所在—當單一案件出錯，可以歸因於人員疏失；當同類型錯誤累積至6,334件，且持續十年未被發現，問題便不能停留在「人員犯錯」的層次，而必須回到制度設計、管理監督與公司治理的層次來檢視。

回到本文開頭的命題：合庫銀行並非沒有制度，該行內部控制作業手冊訂有信用卡會計作業控制重點，也訂有員工輪調施行要點—制度都在，表面上一應俱全。

真正讓6,334件案件長期未被有效檢驗的，不是制度的缺席，而是控制沒有真正落實於責任、人員、證據、流程與資訊系統：職務分工沒有形成有效牽制，文件銷毀前沒有確認案件是否結案，輪調沒有真正形成風險隔離，稽核也沒有將相關控制重點轉化為可驗證的查核程序。

這其實指向一個更根本的概念：一套成熟的內部控制，不只要能「執行」，還必須能「被驗證」—沒有紀錄，就無法驗證；無法驗證，就很難證明控制曾經有效運作。

這正是本案給所有治理實務工作者最深刻的啟示：制度存在，只是內部控制的起點；真正有效的執行，才是控制發揮作用的開始；經得起驗證，才是控制有效落實的證明。

真正有效的內部控制，不是讓稽核人員在查核時「找得到制度」，而是讓組織在風險發生時「看得到控制」—明確權責並有效分工，看得到誰在做、做了什麼、何時完成、誰在覆核、留下什麼證據，以及當異常出現時，誰負責追蹤到底。

因為制度可以寫在紙上，控制卻必須發生在流程裡；制度可以宣稱已經建立，控制則必須經得起驗證。6,334件疑義帳款案，提醒所有企業治理者重新檢視「控制是否真的發生」，這才是本案最值得警惕的一課。 （相關報導： 合庫銀信用卡爭議款10年全由同一人經手　6334件沒處理、金管會罰1200萬 ｜ 更多文章 ）

＊作者為國立中正大學企業管理學系博士研究生​