本文重點
- 採購為何是舞弊高風險區
- 台灣中小企業常見的採購舞弊類型
- 制度設計：透過結構防堵，不靠個人自律
§ 01採購為何是舞弊高風險區
採購是企業所有職能中，最容易發生舞弊和利益衝突的領域之一。原因直接：採購涉及大量對外支出，採購人員在供應商選擇和價格確認中掌握資訊不對稱優勢，而且許多採購決策在制度上有一定的主觀空間。
根據國際舞弊稽核師協會（ACFE）的統計，採購舞弊是企業中最常見的職業詐欺類型之一，損失金額也位居前列。台灣中小製造業雖然規模較小，但同樣面臨這個風險——而且往往缺乏大企業的制度性防護。
重要的是：採購合規制度的目的，不是懷疑員工，而是保護員工。清楚的規則讓每個人知道邊界在哪裡，面對供應商的拉攏時，制度是最好的擋箭牌。
§ 02台灣中小企業常見的採購舞弊類型
回扣（回佣）：採購人員在選擇或維持特定供應商時，收受供應商提供的金錢或利益。台灣商業環境中，這有時以「佣金」、「介紹費」或節慶禮品的形式出現，邊界並不總是清晰。
幽靈供應商（Ghost Vendor）：在採購系統或帳款紀錄中建立不存在的供應商，然後將款項轉至自己控制的帳戶。這類舞弊通常發生在供應商新增和付款核准的控制薄弱時。
分拆採購（Split Purchase）以規避授權門檻：本來需要主管核准的採購金額，被刻意拆成多個小金額的訂單，讓每筆都落在不需核准的門檻以下。這是授權矩陣最容易被規避的方式。
虛報發票金額：與供應商共謀，實際採購金額低於發票金額，差額回流給採購人員。
偏袒特定供應商（Preferred Vendor Fraud）：不透過競標就直接指定特定供應商，或在競標過程中透露其他廠商報價讓特定廠商勝出。
個人費用混入公司帳：使用公司採購管道購買個人物品，或將個人費用夾入業務相關採購中核銷。
§ 03制度設計：透過結構防堵，不靠個人自律
舞弊防範的有效方法不是讓採購人員更有道德（雖然這也重要），而是設計讓舞弊難以執行或難以隱藏的制度結構。
職務分離（Segregation of Duties）
職務分離是採購合規最核心的原則：負責選擇供應商的人，不應該同時是核准付款的人；負責建立供應商資料的人，不應該同時是下採購單的人；下單的人，不應該同時是驗收的人。
最基本的三個職務分離：
- 供應商選擇 — 採購部門
- 採購核准 — 採購主管或財務
- 付款核准 — 財務部門，獨立於採購
在中小企業，人員數量有限，完美的職務分離可能難以實現。這種情況下，應至少確保：高金額採購有獨立的複核人員，而不是採購從選到付一條龍。
競標要求與例外記錄
制度應規定哪些金額以上的採購必須進行競標（三家以上報價），同時明確允許單一來源採購的例外條件，並要求每一個例外都有書面記錄和主管核准。
允許例外是實務需要，但每一個例外都應該是記錄在案的決策，而不是默認的慣例。審計時最容易引發問題的，是「我們一直都這樣做」卻沒有任何記錄的情況。
供應商建檔程序
新供應商的建立，應包含：
- 供應商基本資料核驗（公司登記查詢確認供應商確實存在）
- 銀行帳戶確認（防止幽靈供應商或帳戶替換詐欺）
- 採購人員及其直屬家庭成員與供應商的關聯性申報
- 核准（至少由採購主管以外的人員確認）
供應商資料的修改（特別是銀行帳號變更）應有嚴格的程序：任何帳號變更需要原渠道確認（電話回確認或實體信函），而不僅靠電子郵件申請。帳號替換詐欺（Business Email Compromise，BEC）在台灣也是常見案例。
三方對帳（Three-Way Match）
三方對帳是指：付款必須同時符合採購單（PO）、驗收單（GR）、供應商發票三個文件一致，任何一個不符都必須解釋和確認後才能付款。
這個機制防止虛報發票（發票金額高於實際採購單）和未收貨付款（付了款但貨從未到）兩種常見舞弊。對中小企業，即使沒有 ERP 系統，也應有手動三方對帳的流程。
廠商主檔控制
能夠在系統中新增或修改供應商資料的人，應盡量少，且定期稽核廠商清單中是否有異常條目（銀行帳號雷同、地址雷同、無交易紀錄的幽靈廠商）。
§ 04利益衝突管理
利益衝突是採購合規中最難管理的領域，因為它不是非黑即白。一個採購人員的朋友或前同事在供應商那裡工作，這算不算利益衝突？需要申報嗎？
實用的原則是：凡是可能影響客觀判斷的關係，都應申報。申報的目的不是懲罰，而是建立透明機制，讓有關係的人可以主動揭露，由其他人接手相關決策。
利益衝突申報機制應包含：
- 申報對象：直屬主管和（或）合規或人資部門
- 申報時機：採購人員發現潛在衝突時立即申報，以及每年一次的定期申報
- 迴避機制：有已申報利益衝突的採購人員，不參與涉及該供應商的決策，由其他人員代理
應要求申報的關係類型：
- 家庭成員（配偶、子女、父母、兄弟姊妹）在供應商擔任職員或持股
- 本人在供應商有財務利益（持股、放款等）
- 過去兩年內曾在供應商任職
- 與供應商的個人重要社交關係（如最近有私人金錢往來）
台灣的人情文化讓這個議題敏感，申報機制的設計要讓主動申報者感到安全，而不是被懷疑或處分。
§ 05稽核與偵測機制
制度建立後，仍需要定期的獨立驗證確認制度有效運作。
定期採購稽核：每年或每半年對採購交易進行樣本稽核，重點包含：
- 長期單一來源的供應商（有沒有定期重新評估過？）
- 金額接近授權門檻的多筆交易（有沒有分拆的跡象？）
- 新增廠商的建檔程序（流程有沒有被遵循？）
- 緊急採購的比率（緊急採購是否被過度使用？）
數據分析紅旗：以下模式在採購數據中出現，應觸發進一步調查：
- 同一廠商、同一金額、短期內重複出現
- 多筆金額恰好低於審批門檻
- 付款地址或銀行帳號最近剛被修改
- 某廠商採購量在某段時間內突然大幅增加，沒有明顯業務原因
申訴管道：允許員工匿名舉報疑似的採購舞弊或違規。不需要複雜的系統，一個可以匿名投遞的電子信箱或實體信箱，都比沒有好。根據 ACFE 資料，最常發現舞弊的管道是員工舉報。
§ 06台灣上市公司 vs. 中小企業的不同要求
上市上櫃公司：依台灣證券交易所和金管會的要求，需設置內部稽核單位，每年辦理採購作業的內部稽核，相關缺失需提報稽核報告。這是法定要求，不是選項。
中小企業：沒有法定的內部稽核要求，但在實務上，中小企業才更需要制度性的合規防護——因為中小企業往往人員少、分工不清、老闆信任員工而缺乏制度，這些特點反而讓採購舞弊更容易發生且難以發現。
對中小企業而言，「最小可行的合規控制」包含：
- 採購、核准、付款三個角色由不同人擔任
- 競標紀錄保存
- 供應商建立需複核
- 年度隨機樣本抽查
不需要完整的內稽系統，但需要有人負責，有流程，有紀錄。
§ 07來自頂層的文化：制度的上限
所有的制度設計，最終都有一個上限：來自組織高層的態度。如果老闆本人的採購決策繞過所有程序，如果管理層對明顯違規睜一隻眼閉一隻眼，員工的認知就是「規則是寫來好看的」，制度的實際效力會大打折扣。
採購合規文化的建立，需要高層以身作則：自己的採購也走流程、對違規有一致的處置、讓舉報者受到保護而不是打擊報復。
制度是基礎，文化是乘數。好的制度加上正確的文化，才能真正有效防範採購風險。
§ 08馬佩萊觀點
中小企業談採購合規，常把重點放在防回扣這類戲劇性的舞弊。我認為更普遍、也更容易被忽略的，是拆單：一筆採購刻意拆成幾張，讓每張都剛好低於核准門檻。拆單的人不一定有私心，很多時候只是簽核太慢、產線等不了。這提醒我一件事：合規制度如果讓誠實做事的人更麻煩，大家就會想辦法繞過去，而繞過去的習慣，正是舞弊最好的掩護。
所以設計控制點時，我會先問：守規矩的那條路，是不是最快的那條路？小額、重複的採購讓它快速通過，把把關的力氣集中在大額、新廠商、改帳號這幾個真正高風險的地方。另外，制度對老闆本人也要一樣有效。老闆自己的採購可以跳過流程，整套制度在員工眼裡就只是做給稽核看的——這也是本文說「文化是乘數」的真正意思。