何為陽光采購？企業(yè)應該如何建設采購內(nèi)部的控制體系？管理者為什么要關注內(nèi)部控制？

華為多年實踐總結(jié)出一個道理：在采購內(nèi)部建立防線，可以有效減少公司不必要的浪費和損失、防止群體腐敗、改善公司運營的KPI、增加內(nèi)控的成熟度，最終達到提升管理效益和預防風險的目的！

2000年， 世界上最大的電力天然氣及電信公司安然公司， 因為財務造假丑聞， 于2001年申請破產(chǎn)保護。負責審計安然公司的安達信會計事務所，本來是當時公認的世界五大會計師事務所之一，因為公開承認銷毀了與安然審計有關的檔案造成會計丑聞，不得不結(jié)束了九十年的會計審計的業(yè)務。

安然事件引起了美國上下震動， 美國國會也因此頒布了薩班斯法案（ SOX法案），強調(diào)企業(yè)內(nèi)部控制的重要性，也強調(diào)管理者要對內(nèi)控負起應有的責任。

安然和安信達公司事件，催生了薩班斯法案（ SOX法案），其中的404 和303 條款分別強調(diào)了內(nèi)部控制的重要性及管理者面對內(nèi)控的責任。

· 404 條款提及：管理層應主導設計公司內(nèi)部框架，并評估和提交關于內(nèi)控有效性的報告。

· 303 條款提及：管理層確保財務報告的相關控制可靠和有效，并簽署聲明以上還需外部審計師出具評估報告。

由此可見，關注內(nèi)部控制是外部監(jiān)管者的要求，也是投資者信心的保障。注冊舞弊審查師協(xié)會在2012年的調(diào)查顯示：由于公司內(nèi)部控制不充分引起的欺騙、浪費、失去的機會導致3-7% 的收入損失。通過內(nèi)控機制防止群體腐敗、改善公司運營的KPI，增強內(nèi)控的成熟度，可以為公司提升管理效益。不僅如此，還可達到法律合規(guī)，減少受罰、訴訟風險和公關危機。

華為公司在2013年12月，聘請了國際內(nèi)審協(xié)會主席擔任華為內(nèi)審部副總裁，并結(jié)合IBM實踐創(chuàng)建華 為特有的內(nèi)部控制體系，華為的老總?cè)握窍壬苍跁咸岢隽俗约旱睦斫夂鸵?。簡而言之，華為的風險內(nèi)控體系可以歸結(jié)為一句話：一點兩面三三制。

確立了華為內(nèi)部控制管內(nèi)部管理系統(tǒng)的目標，通過流程遵從，一步一步地提高運營效率、改善業(yè)務KPI、防止群體腐敗、提升內(nèi)部控制的成熟度，最終達到一個目標：促進業(yè)務目標達成、杜絕腐敗發(fā)生。

兩面的第一面是指流程體系建設，古人云，“無規(guī)矩，不成方圓?！?/p>

適應性強的流程，是內(nèi)控合規(guī)的先決條件和基礎。為了避免長的審批流程，我們應當設置少而精的流程，關鍵控制點KCP（The Key Control Point），同時結(jié)合考慮業(yè)務和財務的目標，每個流程節(jié)點的責任都應該清晰地定義及反映這個流程獨特的價值。

華為公司作為一個全球的跨國公司，遍布全球、各大洲、各大國家和各個區(qū)，當?shù)卮硖幍慕Y(jié)構(gòu)組織，應該根據(jù)公司上層的流程文件的關鍵控制點，結(jié)合當?shù)氐膶嶋H情況來適應當?shù)氐沫h(huán)境，并且遵循外部規(guī)則來修正或設計當?shù)氐南乱粚蛹壓拖乱患壛鞒獭?/p>

至于KCP關鍵控制點的要求，我們舉一個例子：采購有一個重要的環(huán)節(jié)叫供應商認證，在這個流程里有一個關鍵的控制點，叫確保認證供應商的合法企業(yè)是符合資質(zhì)的，那么它的KCP設置就包括： 

第一， 認證的供應商要滿足最低資質(zhì)要求； 

第二， 供應商所有的注冊文件是否合法有效；

第三， 供應商的資質(zhì)綜合評估報告是否經(jīng)過認證小組和采購決策評審組織三分之二的成員批準或者通過。

兩面的另外一面叫責任體系建設，它的基礎依然是流程體系建設所提及的：在每個流程的節(jié)點，清晰地定義每個角色的責任，同時建立采購問責制度和質(zhì)量扣分制，對采購人員做到真正的有據(jù)可依、有法必依、違法必究。

第一個“三”：內(nèi)控的三道防線 

上圖是華為內(nèi)控的三道防線。任總曾經(jīng)在內(nèi)部講話時，專門提及華為內(nèi)控的三道防線。

第一道防線是業(yè)務主管，我們稱之為流程的Owner或是業(yè)務的Owner。第一層防線的各個業(yè)務主管，必須在業(yè)務運作中控制風險，這是最重要的防線，企業(yè)應該把90% 以上的精力放在第一層防線的建設。不僅如此，第一層防線既要有規(guī)范性還要有靈活性，沒有靈活性就不能響應不同客戶服務的需要，最終的目的還是讓業(yè)務主管承擔起內(nèi)控的責任。

第二道防線是以財經(jīng)管理系統(tǒng)的內(nèi)控管理部牽頭，并且分布在各個業(yè)務職能部門的內(nèi)控人員與隊伍， 我們稱之為流程的Controller，也就是Process Controller或者業(yè)務的Controller。這個職位多數(shù)是兼職的，他們作為公司內(nèi)控的第二道防線，主要職責是擔負起內(nèi)部控制方法論的推廣，建立起流程監(jiān)控的制度、崗位、角色，并給廣大的業(yè)務主管進行內(nèi)控的賦能，再讓業(yè)務主管走向前線。

第三道防線是公司的獨立審計。第一道防線要把絕大部分工作要做完，但是他們可能有疏忽，所以我們通過第三道防線的監(jiān)督，通過對疏漏的檢查建立起冷威懾，同時可以修補漏洞。任總強調(diào)，華為在第三道防線的公司獨立審計永遠不會消失。通過建立起第三道防線的冷威懾，以此配合第一道防線的建設。

第二個“三”：內(nèi)控三大工具CT、PR、SACA

內(nèi)控管理內(nèi)部控制第一個工具叫CT（ Compliance Testing），它是指流程的Owner、指定的獨立人員要對流程關鍵控制點KCP進行例行的檢查測試。上文提及流程體系的每一個流程節(jié)點都會有關鍵控制點，而CT就是要確認這些KCP是否有效執(zhí)行，以此改進流程的遵從性，同時也確認KCP是否設置合理。CT等于是日常的自我檢查，一般每個月做一次測試，在華為內(nèi)部由系統(tǒng)進行自動抽樣，基本上覆蓋了所有重大的采購項目。而后內(nèi)控人員就會按照流程的規(guī)定復盤這些重要的采購項目，檢查它們是否符合流程的KCP。

內(nèi)控管理內(nèi)部控制的第二個工具叫PR（ Proactive  Review），也是業(yè)務部門主管發(fā)起的一種自我檢查。它聚焦在采購項目執(zhí)行過程中的業(yè)務痛點，幫助項目識別及發(fā)現(xiàn)問題，并基于流程改進問題，所以它的出發(fā)點就是業(yè)務的痛點、流程的效率和業(yè)務的產(chǎn)出。由于華為在推行CT的初期，各個部門良莠不齊，CT發(fā)現(xiàn)內(nèi)控的問題僅占10% 左右，而PR可以檢查CT的質(zhì)量，發(fā)現(xiàn)Top級的業(yè)務問題。因此，PR發(fā)現(xiàn)的問題量往往占80% 左右，PR的主要用途是復核CT的工作質(zhì)量以發(fā)現(xiàn)未知的風險。

內(nèi)控管理內(nèi)部控制的第三種工具是SACA（Semi-annual Control  Assessment）。SACA每半年進行一次內(nèi)控評估，它是各級管理者對自己所負責的業(yè)務領域的內(nèi)部控制系統(tǒng)的設計，可以對執(zhí)行的有效性進行全面評估，旨在客觀評估整體業(yè)務風險和改進情況，支撐相關領域的自我改進和自我管理。

如果CT是日常的自我檢查，PR是特殊的專項檢查，那么SACA就是全身整體的檢查。它主要涵蓋5 個方面：第一，流程內(nèi)控；第二，財報內(nèi)控；第三，反腐??；第四，合規(guī)運營；第五，自我管理機制。流程內(nèi)控、財報內(nèi)控、反腐敗合規(guī)運營是評估的結(jié)果，而自我管理機制能夠保證這些結(jié)果被持續(xù)地發(fā)現(xiàn)。

一點目標，兩面體系建設，三道防線，三種內(nèi)控工具，“一點兩面三三制”貫徹華為的采購內(nèi)控體系，為企業(yè)減少浪費和損失、防止群體腐敗、改善公司運營的KPI、增強內(nèi)控的成熟度， 最終達到提升管理效益和預防風險的目的。

當前，國際國內(nèi)形勢正在發(fā)生深刻而復雜的變化，我國發(fā)展面臨的重要戰(zhàn)略機遇期也呈現(xiàn)出新特點，而部分國際的生產(chǎn)型企業(yè)也不得不進行產(chǎn)業(yè)鏈的重構(gòu)。在未來產(chǎn)業(yè)鏈重構(gòu)過程中，全球供應鏈也將呈現(xiàn)一些新的變化。在知識經(jīng)濟背景下，中國企業(yè)核心競爭力的提升，在于國際化采購和供應鏈管理的發(fā)展。

面對全球供應鏈可能發(fā)生的這些變化，中國企業(yè)必須未雨綢繆，做好風險化解準備。努力構(gòu)建中國企業(yè)全球供應鏈競爭新優(yōu)勢，推動企業(yè)應急變革能力。而采購作為企業(yè)外部資源整合與協(xié)同的重要抓手，如何增價值、建能力、達目標，讓采購成為企業(yè)核心競爭要素，對企業(yè)來說具有重大意義。